21世纪经济报道记者根据相关技术测试报告和报道整理出银行APP在以下几个方面存在的风险(程度各有不同)和相应的防范提示,希望能让读者在享受移动互联网时代便利的同时注意规避风险。
1.安全系数还需加强
360安全中心今年7月发布 《手机银行客户端安全性测评报告》,针对16家银行的APP进行了登录、键盘输入、组件安装、认证等多个环节的安全测试,发现出不少问题。
《360报告》显示,其中至少有两款银行的APP从登录环节便存在隐患:一款APP加密机制不完整或过于简单,导致APP容易被破解,而另一款则在通信过程中缺少对服务端身份校验的步骤,导致登录环节容易被攻击劫持,“由于是与虚假的服务器进行通信,因此,所有通信内容事实全部都可以被"中间人"获得和解密”。
而在认证环节,16款银行APP都是采用“账号密码+短信动态验证码”的方式对用户进行身份认证,但《360报告》指出,当手机被有拦截短信功能的手机木马攻击时显得很脆弱。
作为应对,已有部分银行开始推广音频盾、蓝牙盾等双因素认证系统,但在简单的“账号密码+短信验证”的方式面前还不是足够便捷,因此目前还未成为APP使用的强制性认证方式。
2.假冒APP风险常在
《360报告》指出,另外也有不少手机在反盗版这个环节存在欠缺,16款APP中有15款均有盗版版本,有的甚至有20个以上的不同盗版版本。《报告》指出,16款APP均不具备防止逆向分析和二次打包的能力,有些存在手机签名漏洞,这为篡改APP或二次打包APP创造了可能。
腾讯手机管家的《第三季度手机安全报告》就提到,其于11月26日截获了一个冒充成正常建设银行APP的手机病毒程序,用户登陆后会收到页面的提示,要求输入银行卡、账户密码等信息。
在完成输入之后,这个假冒成建行APP的病毒程序会自动退出,并从手机桌面消失。但这个病毒程序实际上还在后台运行,并将用户所填写的银行卡账号、密码等信息发送至指定号码中,诈骗者就很容易利用这些信息对用户的银行卡账户进行盗刷。
3.明辨APP来源
第三方的艾媒咨询今年5月发布的报告也给出数据,仅以一季度的统计,手机病毒传播的途径包括论坛和应用市场,因此用户在下载或更新来自论坛和应用市场的银行APP时需要明智地辨别其安全程度。
根据这份报告,一季度感染手机支付类应用中,银行APP受害比例为13.6%,排入前三,仅次于电商支付平台APP和理财产品的APP。多家媒体的报道假冒APP诈骗案例时都提醒,下载和更新银行APP时,一定要从官方网站等渠道进行操作。由于如今伪基站已经可以冒充银行官方账号向用户发布短信,用户也尤其需要仔细辨别短信中银行网址信息是否正确。