Jscrambler 電子報文章
金庫之縫：銀行網站如何在不知不覺中向第三方洩露客戶數據
Jscrambler 研究揭露：14 家美歐銀行網站將客戶敏感資料外洩給第三方廣告平台
前言：銀行一直被大眾信賴能保護我們最私密的財務細節，然而最新的安全研究卻揭露了這項信賴承諾與數位現實之間的巨大落差。
Jscrambler針對美國與歐洲金融機構的分析指出了一個關鍵漏洞：敏感的客戶與商業數據——如貸款金額、帳戶細節及經雜湊處理的電子郵件——正常態性地洩露給第三方廣告平台。更嚴重的是，這些在瀏覽器中運行的第三方腳本（Scripts），會直接繞過傳統的安全周邊防線（例如 WAF 網頁應用程式防火牆），並完全無視用戶的隱私選擇。不論是用戶在點擊 Cookie 同意橫幅之前，還是明確選擇了「拒絕全部（Reject All）」之後，數據依然會被這些腳本攔截並外傳。
本次研究深入分析了 14 個美國與歐洲金融網站所記錄的真實數據外洩案例，揭露了這些第三方腳本如何繞過 Cookie 同意機制、繪製敏感數據的流向路徑，並探討了如何部署運行期控制（Runtime Controls）來保障這些敏感數據流的安全。
四大關鍵亮點
- 同意機制失效 (Consent Failures) 追蹤與廣告腳本常在用戶與 Cookie 同意橫幅進行任何互動前就開始自動運行，或是直接無視用戶明確選擇的「拒絕全部（Reject All）」指令。
- 財務意圖外洩 (Financial Intent Leaks) 用戶在銀行網頁上進行信用或貸款額度試算（Credit Simulators）時，這些計算工具會靜悄悄地將「精確的貸款金額與條件（Terms）」直接傳送給外部的廣告網絡（如 ad networks）。
- 身分資訊外洩 (Identity Exposure) 探討經雜湊（Hashed）處理的電子郵件、姓名與稅務識別碼（Tax IDs），如何透過預設的廣告技術（Ad-tech）比對與匹配機制，在不知不覺中流失。
- 主動運行期防禦 (Active Defense) 如何部署持續性的客戶端監控（Client-Side Monitoring），在運行期（Runtime）即時阻斷未經授權的敏感數據外流。
主講專家群
- Gareth Bowker — Jscrambler 安全研究負責人 (Head of Security Research)
- Nathan Coppinger — Jscrambler 產品行銷經理 (Product Marketing Manager)
- David Alves — Jscrambler 安全分析師 (Security Analyst)
聯絡我們