移動(dòng)金融客戶端應(yīng)用安全風(fēng)險(xiǎn)分析

◎張紹明

隨著數(shù)字化轉(zhuǎn)型升級(jí)，特別是5G 時(shí)代的到來，移動(dòng)金融客戶端應(yīng)用已融入到人們衣、食、住、行的方方面面，在國民生產(chǎn)和生活中發(fā)揮越來越重要的作用，但移動(dòng)金融客戶端應(yīng)用所引發(fā)的隱私曝光、資金被盜等事件也越發(fā)頻繁，嚴(yán)重阻礙了社會(huì)經(jīng)濟(jì)的健康發(fā)展，如何識(shí)別并防范移動(dòng)客戶端應(yīng)用的風(fēng)險(xiǎn)具有重要的現(xiàn)實(shí)意義。

一、移動(dòng)金融客戶端應(yīng)用安全背景

移動(dòng)金融是對(duì)通過互聯(lián)網(wǎng)技術(shù)在移動(dòng)智能終端上開展金融業(yè)務(wù)活動(dòng)的總稱。移動(dòng)金融較傳統(tǒng)金融服務(wù)而言，具有方便快捷、內(nèi)容豐富、服務(wù)高效和成本低廉的顯著優(yōu)勢(shì)。隨著移動(dòng)互聯(lián)網(wǎng)和通信技術(shù)的不斷發(fā)展，特別是面臨5G 時(shí)代的到來，各行各業(yè)包括金融行業(yè)均在不斷加速移動(dòng)端應(yīng)用的布局。

1. 移動(dòng)端已成為互聯(lián)網(wǎng)流量最大的入口。根據(jù)中國互聯(lián)網(wǎng)報(bào)告和工信部官網(wǎng)信息顯示，2019 年中國移動(dòng)端互聯(lián)網(wǎng)接入消費(fèi)流量達(dá)到1210 億GB，是全球平均水平的1.2 倍，占我國互聯(lián)網(wǎng)總流量的99.1%，，較2018 年增長72.4%。

2.移動(dòng)應(yīng)用程序（APP）數(shù)量龐大，種類繁多。截至2019 年12 月，我國移動(dòng)應(yīng)用程序（APP）數(shù)量達(dá)到367 萬款，涉及游戲、日常工具、電子商務(wù)、金融類等種類，其中金融類移動(dòng)應(yīng)用程序（APP）在第三方應(yīng)用商店下載總量就達(dá)到520 億次。

3. 移動(dòng)支付用戶和交易規(guī)模顯著上升。2019 年網(wǎng)絡(luò)支付用戶規(guī)模達(dá)到7.68億，同比增長31.7%，其中移動(dòng)支付用戶規(guī)模達(dá)到7.65 億，占用戶總數(shù)的99.6%；2019年銀行業(yè)移動(dòng)金融客戶端交易筆數(shù)1214。51 億筆，交易金額335.63 萬億元，同比增長38.88%。

4.金融機(jī)構(gòu)營業(yè)網(wǎng)點(diǎn)呈縮減趨勢(shì)。隨著金融科技的飛速發(fā)展，特別是移動(dòng)金融客戶端的應(yīng)用，各金融機(jī)構(gòu)均逐步放緩了物理網(wǎng)點(diǎn)擴(kuò)張的腳步，并出現(xiàn)網(wǎng)點(diǎn)數(shù)量縮減的趨勢(shì)。根據(jù)數(shù)據(jù)顯示2018 年4 月-2019 年4 月銀行業(yè)金融機(jī)構(gòu)網(wǎng)點(diǎn)退出3605 家，而同期營業(yè)網(wǎng)點(diǎn)設(shè)立總數(shù)為3168 家，減少437 家。

二、移動(dòng)金融客戶端應(yīng)用分類及特點(diǎn)

根據(jù)提供的金融服務(wù)不同，移動(dòng)金融客戶端應(yīng)用APP 可分三大類，分別為資金交易類、信息采集類、資訊查詢類。移動(dòng)金融客戶端應(yīng)用較傳統(tǒng)銀行IC 卡應(yīng)用存在明顯的差異。具體表現(xiàn)在以下幾個(gè)方面：

1. 移動(dòng)金融客戶端應(yīng)用基于的平臺(tái)更加開放。傳統(tǒng)銀行IC 卡使用的是訂制的卡內(nèi)操作系統(tǒng)（COS），不同的COS 之間的應(yīng)用差別也相當(dāng)大，COS 的完善程度決定了IC 卡的應(yīng)用廣度和深度。當(dāng)前移動(dòng)金融客戶端應(yīng)用主要基于的系統(tǒng)平臺(tái)有Android（安卓）和IOS（蘋果）操作系統(tǒng)，他們除了為手機(jī)用戶提供統(tǒng)一的接口和友好交互界面外，最大的特點(diǎn)是開放性，給第三方提供了廣泛、自由的開發(fā)環(huán)境，允許各廠商推出各具特色、實(shí)用性好、新穎別致的應(yīng)用。

2.移動(dòng)金融客戶端應(yīng)用（app）功能更趨多元化。傳統(tǒng)IC 卡業(yè)務(wù)功能相對(duì)較單一，主要為支付功能，而移動(dòng)金融客戶端應(yīng)用功能除支付以外，逐步進(jìn)入“場(chǎng)景化”時(shí)代，涵蓋生活圈、公交地鐵、餐飲、超市便利、公共繳費(fèi)、自助售貨、校園、食堂、醫(yī)療健康、交通罰款等人們的日常衣、食、住、行。

3.系統(tǒng)應(yīng)用開發(fā)迭代速度更快。傳統(tǒng)IC 卡業(yè)務(wù)更新迭代較慢，而移動(dòng)金融客戶端應(yīng)用開發(fā)迭代相對(duì)較快，能根據(jù)不同應(yīng)用場(chǎng)景、客戶需求、用戶體驗(yàn)和反饋，不斷進(jìn)行更新完善，更新頻率以月，有的甚至以周為單位。

4.移動(dòng)金融客戶端應(yīng)用引入較多的外部組件。為應(yīng)對(duì)激烈的市場(chǎng)競(jìng)爭(zhēng)，快速、高效的上線應(yīng)用程序或完善系統(tǒng)功能，移動(dòng)應(yīng)用程序在應(yīng)用開發(fā)過程中會(huì)大量引入第三方SDK（Software Development Kit），例如地圖、多媒體、社交分享、支付、客服工具、運(yùn)營分析、驗(yàn)證推送等功能組件，而傳統(tǒng)IC 卡業(yè)務(wù)一般很少引入外部組件。

5.安全防護(hù)以軟件防護(hù)為主。傳統(tǒng)銀行IC 卡業(yè)務(wù)一般通過安全芯片進(jìn)行保護(hù)，而移動(dòng)金融客戶端應(yīng)用安全防護(hù)主要依靠手機(jī)安裝的安全防護(hù)軟件，在硬件防護(hù)方面則依賴客戶自行購買的手機(jī)本身，不同廠商不同價(jià)位的配置相差較大。

6.通信方式的多元化。傳統(tǒng)銀行業(yè)務(wù)通信方式單一，主要通過客戶前置系統(tǒng)響應(yīng)客戶請(qǐng)求，而移動(dòng)金融客戶端應(yīng)用主要依托移動(dòng)智能終端，可以采取多種交互方式，例如藍(lán)牙技術(shù)、WiFi 技術(shù)（無線高保真）、IrDA 技術(shù)、NFC、ZigBee、UWB（超寬帶技術(shù)）。

三、移動(dòng)金融客戶端應(yīng)用面臨的風(fēng)險(xiǎn)

隨著移動(dòng)客戶端應(yīng)用開發(fā)技術(shù)的快速發(fā)展，移動(dòng)金融客戶端應(yīng)用程序與我們的日常生活變得密切相關(guān)，隨之而來的安全風(fēng)險(xiǎn)也變得越發(fā)突出，例如仿冒、惡意代碼注入、界面劫持、隱私泄漏、業(yè)務(wù)攻擊等情況層出不窮，因此移動(dòng)客戶端應(yīng)用的安全問題需高度重視。

1.仿冒風(fēng)險(xiǎn)。

仿冒問題由來已久，因仿冒的暴利、低成本、迷惑性和隱蔽性強(qiáng)特點(diǎn)，使得仿冒行為日漸猖獗，不斷向各行業(yè)擴(kuò)散，成為應(yīng)用安全風(fēng)險(xiǎn)的重災(zāi)區(qū)。例如二次打包，通過逆向工程，反編譯應(yīng)用程序，在金融客戶端程序中添加病毒代碼、植入木馬等方式，惡意竊取用戶的賬號(hào)信息、支付密碼，攔截驗(yàn)證短信、修改金額等。2017 年，據(jù)統(tǒng)計(jì)移動(dòng)應(yīng)用軟件仿冒規(guī)模從2.3 萬多個(gè)增長到2.8萬多個(gè)，同比增長21.74%，其中金融行業(yè)包括銀行、金融科技公司、第三方支付平臺(tái)等均發(fā)現(xiàn)存在仿冒應(yīng)用，其中僅互聯(lián)網(wǎng)金融仿冒應(yīng)用就有1300 余個(gè)，支付寶、京東金融等主流應(yīng)用也在其中，下載量達(dá)3000多萬次，對(duì)廣大用戶的資金安全、銀行卡信息和個(gè)人隱私造成嚴(yán)重的安全威脅。

2.用戶金融信息安全風(fēng)險(xiǎn)。

用戶金融信息安全風(fēng)險(xiǎn)指?jìng)€(gè)人身份、財(cái)產(chǎn)、賬戶、信貸等個(gè)人金融信息泄露而引發(fā)的風(fēng)險(xiǎn)，特別是有些支付敏感信息直接關(guān)系著用戶的資金安全，而金融、支付類App 一直是數(shù)據(jù)泄露的多發(fā)區(qū)，例如軟鍵盤SDK 雖在界面上對(duì)用戶輸入進(jìn)行了處理，但輸入信息在內(nèi)存中卻明文存儲(chǔ)，以及客戶端本地存儲(chǔ)沒有對(duì)敏感信息進(jìn)行加密處理，不法分子通過界面和鍵盤劫持攻擊等方式可能導(dǎo)致用戶信息泄露。

3.交易數(shù)據(jù)安全風(fēng)險(xiǎn)。

交易數(shù)據(jù)安全風(fēng)險(xiǎn)是指用戶在業(yè)務(wù)交易過程中可能發(fā)生的安全風(fēng)險(xiǎn)。例如通過動(dòng)態(tài)篡改攻擊（hook），劫持用戶網(wǎng)絡(luò)傳輸參數(shù)，在收款賬號(hào)、收款人姓名以及金額被加密前動(dòng)態(tài)修改被提交到服務(wù)器的請(qǐng)求，這樣服務(wù)器端收到的就是轉(zhuǎn)賬給另外一個(gè)人的請(qǐng)求。

4.應(yīng)用安全漏洞風(fēng)險(xiǎn)。

無論是安卓（Android）系統(tǒng)還是蘋果（IOS）系統(tǒng)，都存在有漏洞，包括移動(dòng)金融客戶端以及引入的第三方SDK，在開發(fā)設(shè)計(jì)中存在的代碼以及業(yè)務(wù)邏輯缺陷，都可能被攻擊者所利用。例如在設(shè)計(jì)中將轉(zhuǎn)賬操作驗(yàn)證動(dòng)態(tài)密碼時(shí)，不但通過短信發(fā)送了一份動(dòng)態(tài)密碼到手機(jī)，還將動(dòng)態(tài)密碼發(fā)送了一份到客戶端，并在手機(jī)端本地進(jìn)行動(dòng)態(tài)密碼比對(duì)，這無疑產(chǎn)生了很大的安全隱患。

四、結(jié)語

移動(dòng)金融客戶端應(yīng)用面臨的風(fēng)險(xiǎn)，無論是應(yīng)用軟件包、運(yùn)行環(huán)境、業(yè)務(wù)邏輯都是在既有IT 和信息技術(shù)上發(fā)展而來的，天然帶有相關(guān)的缺陷和漏洞，我們需提前識(shí)別所存在的各類安全問題，按照國家有關(guān)標(biāo)準(zhǔn)，提前給予預(yù)防和解決，將風(fēng)險(xiǎn)消滅在萌芽中。