眾所周知手機已經(jīng)深入中國百姓日常生活的方方面面，隨著(zhù)手機上網(wǎng)日益普及，網(wǎng)上支付及理財更成為最熱門(mén)的手機應用之一，互聯(lián)網(wǎng)安全領(lǐng)先廠(chǎng)商Check Point公司的專(zhuān)家指出，消費者在享受網(wǎng)上支付及網(wǎng)上銀行的便利的同時(shí)，也要提防其安全風(fēng)險。
Check Point SandBlast Mobile 移動(dòng)安全研究員賀飛翔表示，當下的銀行木馬攻擊具有高回報、低技術(shù)門(mén)檻的特點(diǎn)。在過(guò)去的三個(gè)季度里，Check Point的威脅情報發(fā)現，全球范圍內手機銀行木馬正在逐步染指移動(dòng)支付。
他指出，銀行木馬現在不再僅限于攻擊傳統的銀行手機客戶(hù)端。這類(lèi)木馬開(kāi)始攻擊任何具有支付功能的手機軟件。例如網(wǎng)絡(luò )購物、打車(chē)、酒店機票預訂等軟件。由于中國市場(chǎng)每天都在產(chǎn)生海量移動(dòng)支付交易，即使攻擊成功率較低，攻擊者依然可以獲得可觀(guān)收入。因此該領(lǐng)域對網(wǎng)絡(luò )罪犯越發(fā)具有吸引力。
他表示："值得注意的是，近年來(lái)黑色產(chǎn)業(yè)鏈呈現出職能細分的趨勢。銀行木馬使用及傳播者往往可以方便的從專(zhuān)業(yè)惡意軟件開(kāi)發(fā)人員手中買(mǎi)入病毒。無(wú)需掌握復雜的技術(shù)知識，僅需簡(jiǎn)單的加工，使用者就可以開(kāi)始傳播、實(shí)施侵害。一方面，我們看到移動(dòng)支付廠(chǎng)商（諸如支付寶、微信支付）在不斷加強支付端口自身的安全；另一方面，我們認為使用移動(dòng)支付端口的第三方軟件以及用戶(hù)本身是反銀行木馬努力中不可忽視的兩個(gè)較薄弱環(huán)節。"
賀飛翔也指出，移動(dòng)端的隱私問(wèn)題也需要關(guān)注，廣告商及軟件開(kāi)發(fā)商往往超范圍提取用戶(hù)關(guān)鍵個(gè)人信息。個(gè)人信息采集幾乎存在于所有日常手機應用中， 而目前大多數亞洲國家沒(méi)有對廣告商收集個(gè)人信息的行為在法律層面提出詳細可操作的規定和指引。在某些情況下，廣告商移動(dòng)組件同時(shí)收集手機辨識碼IMEI、SIM卡序列號、手機號、手機當前位置等敏感信息并不加處理直接上傳至服務(wù)器。這些數據加以適當社工手段分分鐘可以把用戶(hù)手機變?yōu)殚g諜追蹤設備。
他表示："這種粗獷的收集手段給了黑客更多可以非法獲取敏感數據的渠道。例如利用廣告組件自身漏洞來(lái)截取信息、利用服務(wù)器漏洞進(jìn)入后臺數據庫、或者和廣告商達成某種協(xié)議直接獲取數據。中國方面，政府近期開(kāi)始實(shí)施網(wǎng)絡(luò )論壇發(fā)帖回帖實(shí)名制。不可否認，這一舉措保證了網(wǎng)絡(luò )空間和諧的氛圍，有效遏制了不文明行為。但是這一規定使得以往一些較低價(jià)值目標（比如知乎、微博等移動(dòng)端）對于黑客來(lái)說(shuō)變得更有攻擊價(jià)值。因為實(shí)名認證的需求，此類(lèi)手機應用及后臺服務(wù)器需要傳輸甚至存儲個(gè)人證件信息。"
根據中國互聯(lián)網(wǎng)信息中心發(fā)表的最新一期《中國互聯(lián)網(wǎng)絡(luò )發(fā)展狀況統計報告》，截至2017年6月，中國手機網(wǎng)民規模達7.24億，其中網(wǎng)上支付的比例提升至68%，而手機支付用戶(hù)規模增長(cháng)迅速，達到5.02億（69.4%）。
Check Point以色列捷邦安全軟件科技有限公司
Check Point以色列捷邦安全軟件科技有限公司(www.checkpoint.com.cn)是全球最大的專(zhuān)注于安全的解決方案提供商，為各界客戶(hù)提供業(yè)界領(lǐng)先的解決方案抵御惡意軟件和各種威脅。Check Point提供全方位的安全解決方案包括從企業(yè)網(wǎng)絡(luò )到移動(dòng)設備的安全保護，以及最全面和可視化的安全管理方案。Check Point現為十多萬(wàn)不同規模的組織提供安全保護。
