银行类网站存高危风险小银行和P2P平台成区域

银行类站存高危风险 小银行和P2P平台成重灾区

近期，一起18岁黑客窃取银行卡信息，涉案15亿元的在社会上引发较大反响。该案件中，18岁黑客叶某利用自编的黑客软件，通过互联批量提取客户银行卡信息，并通过上中介转卖。不法分子再利用这些银行卡信息在上大肆盗刷或转账牟利，涉案金额高达14.98亿多元。

了解到，这一事件绝不仅仅是个案，不少金融机构的站确实存在高危漏洞，易被黑客攻击，从而危及客户的信息安全和资金安全。而权威部门的检测结果也显示，虽然金融机构站的高危风险近年来持续下降，但目前仍有大概25%银行类站存在高危风险，恐危及资金安全。此外，有机构预测，移动支付将可能成为络攻击的新目标。

警 惕 不少金融类站存高危风险

360补天漏洞响应平台工作人员向介绍称，经统计，截至1月19日，白帽子(即正面的黑客，可识别计算机系统或络系统中的安全漏洞，但并不会恶意利用)提交到平台且通过平台验证的漏洞报告显示，和金融机构相关的络漏洞共89个，其中高危漏洞70个，中危漏洞6个，低危漏洞13个。值得注意的是，截至目前，仍有接近30个漏洞仍未修复。

360补天平台负责人赵武在接受《经济参考报》采访时表示，某些高危漏洞若被黑客利用或攻击，将产生严重后果。比如，利用某些漏洞，黑客可入侵银行站的数据库，非法获得大量后台客户数据;更有甚者，有些漏洞的存在能使黑客通过植入木马程序从而控制整个服务器。这些漏洞都被我们称为高危漏洞。

而来自360补天平台的漏洞报告还显示，在这些存在安全漏洞的银行类站中，不少为中小银行和地区类城市商业银行。比如，三峡银行、邯郸银行、连云港东方农村商业银行、湖北仙桃农村商业银行等近30家地区性商业银行的主站存在SQL注入漏洞，这一漏洞属于高危漏洞，可导致大量数据泄露，在这些漏洞中，有些已被修复，有些则没有。

这些漏洞是如何产生的呢?赵武对表示，站系统设计开发不当、运营维护不当以及工作人员安全意识不强都有可能产生漏洞。有些金融机构站在设计上的漏洞显得非常低端，他列举某银行已经修复的漏洞案例称，在该站若直接输入用户名，不需要任何密码，可直接显示该用户的号码和客户号等信息，这就给了黑客可乘之机。另外，工作人员安全意识的淡薄也可能被黑客所利用。有些工作人员可能会将一些内部系统的址、用户名和密码作为群的签名档贴出来，这些信息完全是公开的，任何人都可以通过的查询功能查询到信息，隐患很大。赵武说。

危 机 新兴络理财平台成重灾区

值得注意的是，在络安全上，一些新兴的络平台，如P2P理财借贷平台、上支付平台等，暴露出比传统金融机构站更加严重的问题。

来自360补天漏洞响应平台的信息显示，此前，国内P2P理财平台PPmoney存在高危漏洞，影响到几十亿元资产。黑客不仅可以获取用户的财务、隐私信息及发送到上的明文交易密码，还能任意修改账户金额。而该平台里前20名账户余额都在2000万元以上，最多的超过一亿元。目前，该漏洞已经被修复。

据赵武介绍，PPmoney的高危漏洞可以被黑客利用植入后门，达到控制数据库和服务器的目的。控制服务器以后，可以获取数据库中的所有信息，包括用户的账户金额等财务信息、号等隐私信息。从漏洞详情可以看到，还能获得实时下发到上的重置密码、认证码、交易密码等信息。

另据360补天漏洞响应平台提供的信息，此前，国内P2P平台小米贷存多个高危漏洞，黑客可直接控制服务器;普资华企P2P理财站存在XSS漏洞，使得数十万会员信息存在隐患;易融通金融综合服务平台存在用户信息泄露风险;点点理财P2P平台存在万能密码，黑客可进入后台操作，泄露所有用户资料;长沙大定财富理财站存在的漏洞可导致泄露多个数据库信息。目前，这些漏洞均被修复。

国家信息技术安全研究中心专家曹岳在接受《经济参考报》采访时表示，比起传统的金融机构，新兴的平台由于成立时间较短，业务飞速发展，且缺乏有效的监管，因此容易暴露问题。尤其是有些新兴络平台的技术水平与传统的银行机构相比存在一定差距，易被黑客攻击。在监管不足的情况下，这些平台需要自身承担起，提高站的安全性。

防 范 移动支付恐成络攻击新目标

实际上，从整体来看，金融行业的信息系统安全性相对于其他行业来说，算是比较安全的，如金融行业的重要系统极少存在弱口令这样的低级漏洞。曹岳表示。

360互联安全中心最新发布的站安全性行业分析报告也显示，从存在高危漏洞的角度看，电子商务类站(26%)的比例最高;其次为生活信息类(24%)、医疗卫生(22%)和企业公司(21%)。银行类站安全性相对较高，存在高危漏洞比例最低。

不过，由于金融类站涉及客户的信息安全和资金安全，因此，一个很小的漏洞也可能引发较大的风险和问题。因此，必须引发高度重视。曹岳表示。

曹岳表示，从高强度的渗透测试来看金融安全态势，依然存在大规模的络攻击风险。据他介绍，国家信息技术安全研究中心从十八大以后开始对金融站进行监测，每个季度会出一个分析报告。根据该中心对银行站的持续检测，大概25%左右站存在高危风险。根据360在2014年发布的互联安全报告，站的中高危漏洞比例大概占65%。

金融系统采用了世界上最先进的防御体系，我们对他们的防御能力进行了穿透性测试，存有漏洞的站大概有20%的概率被直接穿透。曹岳说。

不容忽视的是，伴随着移动支付和移动互联的快速发展，金融机构络安全问题更为突出。据卡巴斯基统计，2014年针对安卓设备的攻击是2013年的4倍，每5个安卓用户就有1个面临过移动威胁。有机构预测，2015年针对安卓设备的恶意软件数量将是2014年的2倍。移动支付将可能成为络攻击的新目标，通过挖掘系统漏洞、制造上银行病毒等，络犯罪分子可能获取金融敏感信息或劫持账户。与此同时，近年来，全球大规模数据泄露事件频繁发生，如美国Target超市7000万客户资料，摩根大通账号资料被窃取，iCloud泄露出大量好莱坞影星私密照片，国内12306用户身份证等敏感信息泄露。

曹岳指出，目前黑色产业链趋利化、集团化、跨境化的特点日趋明显，如一次跨境络钓鱼攻击，黑客从骗取用户的信息到在国外的ATM取现只需要2小时，而立案最快得6小时，不法分子的攻击速度已经远远超出更大范围的安全防御框架。

互联金融在2014年快速发展，金融支付已经贯穿到存、贷、流通各个环节，安全问题也是跨平台、跨地域的，安全问题更加复杂。譬如不法分子通过假冒淘宝商家让一个北京的买家电脑中了一个木马，通过欺诈的方式骗取用户账户金额，最后钱在几个银行流通后，从另外一个省ATM取出去。因此，在一个高度关联依赖的数字金融络，攻击一个金融系统就意味着攻击整个金融系统，没有一个人可以逃脱这种攻击。虽然每个金融机构在业务上是竞争的，但在信息安全上面临着同样的对手。有必要联合安全服务商、金融机构和主管部门、金融参与者等进行共同防御。曹岳说。