离谱！上线前忘记切换HTTPS加密传输，北市智慧支付App回传的账号密码全曝光(更新:北市资讯局说明2~3天才能更新App)

23:00更新：台北市政府资讯局晚间9点多正式对外说明，表示已于下午4点紧急应变，但得等到资料更新和系统修正，网站将于明天6月28日重新上线，而App则还需2～3天才会升级，目前先暂停服务。

台北市政府之前率先全台推出“台北市政府智慧支付平台pay.taipei”，但在6月27日大约中午时分，便在开发社群疯传一张pay.taipei出现资安漏洞的网络截图，揭露这个已经上架的Android App在连回后端服务器时，采用HTTP的明码传输方式，这也使得使用者的账号密码，都有被公开拦截的风险。

台北市政府资讯局应用服务组组长林郁杰表示，市府大约在下午二点左右，同仁发现这样的讯息并立即和厂商联系做修正，第一时间下架Google play的pay.taipei的App，预计在今晚七点左右重新上架新版的App，另外在服务器端，则会拒绝没有使用HTTPS的网络连线，以确保使用者账号密码的安全性。

人在以色列参访的台北市资讯局局长李维斌也第一时间获知这个消息，他接受记者访问时则表示，这样的错误并不应该发生，资讯局同仁已经在第一时间进行善后与修补动作，他也强调，目前这个pay.taipei智慧平台并不存放任何使用者的账号密码等个人资讯，在改善相关的资安疏失后，也会要求同仁详查原因，以避免类似的问题再度发生。

pay.taipei系统承包业者蓝新科技坦言疏失，更版后将进行App资安检测

至于pay.taipei承包业者蓝新科技总经理詹圣生表示，这个智慧平台在去年底已经大致完成，但因为需要等其他行动支付业者完成相关的系统介接，所以中间有将近半年的时间处于被动等待的状态，目前整个系统还没有完成最后验收程序。而蓝新科技在6月27日在接到有这样的资安漏洞通报后，也第一时间配合台北市政府资讯局的作为，下架旧版App并立即更新相关新版App，以确保使用者的安全性。

蓝新科技副总经理徐之伟坦言，发生疏失的主因是，测试时没有使用敏感资讯测试所以先采用HTTP传输，但转换到正式上线环境时，忽略了将传输模式从原本的HTTP改成HTTPS。他也说，新版App上架后，该公司也会在系统验收之前，重新再进行一次系统的源码检测，也会在App上架前，进行App资安检测。

北市府下架旧版安卓App，一天内完成新版更新上架

台北市政府在6月25日对外正式宣布结合包括五大电信业者的手机门号实名认证机制，以及加上PI钱包、台新银行、玉山银行、ezPay台湾支付、欧付宝、橘子支付和街口支付等八家行动支付业者，都可以透过台北市政府推出的这个整合性的智慧支付平台，支付包括台北市的水费、停车费，甚至是台北市例联合医院的看诊费用。

因为看好这样行动支付将蔚为潮流，台北市长柯文哲也率先针对台北市民在公共服务费用的支付上，提供更多元的支付型态。但也因为涉及金钱的支付，民众对于相关资安的要求也将以对待金融业者的方式作为检视的基准。

目前台北市资讯局先将出包的Android App下架后，也和承包业者蓝新科技合作，第一时间进行App的版本更新，目前正在等候Google paly的审查，原资讯局希望最快在今晚将新版App重新上架、不过，晚上九点多，资讯局发布新闻稿表示，还需2~3天才能升级App，升级前将先暂停服务。；至于苹果手机AppStore的App，还在等候审查中还没有上架。

至于目前到底有多少人已经下载旧版的pay.taipei的Android App，林郁杰表示，资讯局目前以善后为第一优先，相关的资讯将会在检讨会中进行统计，资讯局也会透过新闻稿的方式，告知民众pay.taipei的资安漏洞资讯以及后续的善后程序。