蘇格兰高地議會（Highland Council）因遭駭客冒充員工，於2025年9月將3,321.41英鎊薪資轉入攻擊者指定帳戶。事件始於12所學校收到要求更換員工銀行資料的釣魚郵件；一名議會支援人員發現可疑後，攻擊者先佯稱無法使用安全服務系統 MyView，後以技術困難為由要求人工處理。
薪資部門未核對郵件地址與既有紀錄，且未辨識表格地址不符、緊急連續催辦等警訊，反而向攻擊者寄出銀行授權書及兩份薪資單，導致個人與財務資訊外洩。直到9月26日遭影響員工反映未收到薪資，案件才曝光。警方於2026年2月10日結案並列為未偵破案件；議會其後加強帳戶變更查核、監督、監控與員工資安教育。
這起事件本質並非大型地緣角力，而是公共機構面對「數位化轉型」與「金融安全治理」之間落差所形成的制度性漏洞。人事、薪資與付款流程雖逐步移入線上，但關鍵變更仍仰賴電子郵件、人工覆核及人員判斷，形成一條可被社交工程利用的操作鏈。攻擊者不需要破解系統，只需借用員工與權限的信任語境，便能讓流程本身替自己完成付款。
漏洞並非單一員工粗心所致。第一，郵件地址未與薪資紀錄交叉核對；第二，地址不一致、連續催促等異常未被升級處理；第三，缺乏書面化且可稽核的銀行資料變更程序；第四，薪資部門在身分尚未確認前便寄出薪資單，形成二次資料外洩。真正失效的是控制點，而不是單一駭客技巧。
警方以「未偵破犯罪」結案，也凸顯跨機構追蹤的落差。資金一旦轉入攻擊者帳戶，個資與付款資料便同時暴露，事件由單純詐欺升級為供應鏈式身分風險。議會後續引入系統控制及付款軟體供應商參與，代表問題正由「教育員工」轉向「以系統強制分離權限、驗證身分並留下完整稽核軌跡」。
此案可與過去多起企業及公共機構轉付款詐騙事件對照：早期犯罪集團多以大量垃圾郵件篩選Targets，如今則以供應商、薪資與付款流程為入口，尋找「可合法轉帳」的捷徑。未來威脅將更集中於身分驗證、授權流程及異常處理，而非僅是惡意連結。
01 起因觸發：12所學校收到冒充員工的銀行資料變更釣魚郵件
02 一階傳導：薪資部門人工處理並寄出授權文件與兩份薪資單
03 二階傳散：3,321.41英鎊遭轉戶，員工個人及財務資訊外洩
04 控制失效：缺少地址核對、書面流程、獨立覆核與可稽核軌跡
05 外部追蹤受阻：警方結案時仍屬未偵破犯罪，後續身分風險未完全排除
06 治理轉向：地方政府將強化驗證、監督、監控及資安教育，並要求軟體供應商加入系統控制
領域延伸情報推薦 相關延伸研讀
依主題領域自動關聯之高參考價值外電情報
