网银防盗

客户世界 | 2015年7月12日 | 会议会展 | 评论已关闭 | 1372

|Michael Jin|2006-10-11

网络银行崛起，随之而来的安全问题也日益突出，“攘外”的同时，“安内”同样不可小视。

如果你收到某家银行要求你登陆某个网页更新账号和密码信息的电子邮件，小心，你可能已经成为“网络钓鱼”骗子们的目标。“网络钓鱼”用来形容以电子邮件或其他手段骗取用户财务信息的诈骗方式，一旦你按照邮件中的要求操作，你账户中的资金很容易不翼而飞。

随着在线交易金额的扩大，消费者越来越关注网上银行以及电子商务的安全问题。而“网络钓鱼”只是众多安全问题的一种，其他针对在线交易的攻击还包括木马病毒、黑客侵入、内部盗窃等。美国RSA实验室最近进行的一项调研指出，53%的消费者对ID/密码安全体系已经不再信任，21%的消费者更是因为安全顾虑而放弃在线商务活动。

而金融机构对在线交易的依赖正日益增强。中国交通银行总行电子银行部总经理兰福民透露，今年交通银行提出战略转型后，电子银行已经成为重要的战略部门，在交通银行业务增长模式、利润增长模式中的地位愈发突出。目前，单以业务笔数考量，电子银行占交通银行业务比例已突破50%。电子银行在中国工商银行、招商银行、中国银行等国内其他金融机构中的地位也日益凸显。

因此，在线交易的安全问题已经不仅涉及金融运行安全问题，更关系到金融业务模式创新的发展问题。

防范网络钓鱼

自去年起，中国工商银行遭遇几起利用与该行相似的互联网域名骗取银行卡用户信息的案件。中国工商银行电子银行部品牌推广处处长周永林向《信息周刊》表示，除了利用各种方式教育用户培养安全意识外，工商银行还通过安全客户证书对用户信息加以保护。

安全客户证书即USBKey客户证书，这是一种基于智能芯片的硬件加密方式，专为基于计算机网络信息交换的安全应用而设计，可以用于多种不同的安全应用中，特别适用于签名应用、网络访问和各种各样的需要双向认证的应用中。客户有关信息一经下载到USBKey客户证书内，即具有唯一性和不可复制性，网上所有涉及账户资金的对外转移都必须事先通过USBKey客户证书进行唯一认证，这样可以有效防范包括“假网站”和“木马”病毒在内的各类可能的风险。据了解，招商银行、交通银行等银行也都采用了类似设备。但由于需单独购买等原因，USBKey客户证书的使用人群较窄，目前大多数用户并没有使用安全客户证书。

招商银行相关人员在发给《信息周刊》编辑的一封电子邮件中表示，要保证网上交易的安全性，在用户只依赖于账户及密码保护时，钓鱼式攻击就不可能完全杜绝。尽管如此，招商银行仍尽了很大努力保护用户密码安全，如附加密码、安全登录控件、登录错误次数控制等。招商银行的措施还包括保护用户隐私，不泄露用户电子邮件地址以减少针对客户的电子邮件攻击；在网站上公布招商银行网站的公开地址，提醒客户注意假冒网站。重视客户信息及网络银行使用记录的收集，以及开发可疑交易预警系统，确保发生相关事件时可以快速反应。

为了减少“钓鱼”攻击，金融机构还在考虑采用微软的双因子认证技术。美洲银行（Bank of America）就使用了VeriSign公司（VeriSign,Inc.）的统一认证平台（Unified Authentication Platform），发行用于通信和交易的安全令牌，首批安全令牌应用在银行内部，同时在部分商业客户中进行推广。VeriSign公司的平台提供了一种管理所有双因子认证类型的机制，包括令牌方案与智能卡，并可以与企业现有的身份管理体系进行集成。

招商银行也在密切关注类似技术的发展。招商银行发言人认为，最终能够保护用户使用网络银行安全性的，在于所谓双因子技术，即通过数字证书机制、动态口令等安全硬件措施及硬件本身的PIN保护，来保护用户的身份不被盗取。招商银行早在2004年初就已经推出了移动证书，使用USBKey来保护网银专业版用户的安全。

中国的很多在线交易都采用了中国金融认证中心（CFCA）的第三方数字认证证书。作为独立于交易行为的第三方，中国金融认证中心推出了CFCA网上银行数字证书，并已与银行、证券商、基金公司等建立业务合作，通过建立第三道防线—网上银行数字证书，避免网上银行被盗事件的发生。业内人士认为，要破解数字证书的密码，需要几百台计算机运算几个月的时间。如果出现问题，根据与银行签署的协议，中国金融认证中心承诺赔付。

健全安全体系

除了在交易过程中加强防范外，金融机构还必须加强内部金融信息的安全防护。
银行一般通过两种手段保证网络层的安全，一是在内部网络和其他外部网络的接口处建立防火墙，对进出银行网络的数据进行检查和控制，这样能够起到访问控制、审计、地址翻译等作用。二是安装入侵检测系统，它被认为是防火墙之后第二道安全闸门，在不影响网络性能的情况下，能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。兰福民透露，为了防范黑客攻击，交通银行建立了一套严密的网络安全机制，包括采取内外网之间建立两道异构防火墙、对IP地址加密、办公网与业务网隔离等措施。

欧克文金融公司(Ocwen Financial Corp)主要为抵押贷款企业提供技术和服务，其客户占据美国抵押贷款市场40%左右的份额。为保护客户信息的安全，欧克文金融公司采用了伏尔米公司（Vormetric）的核心守卫（Coreguard）数据安全软件，创建分级接入系统。Coreguard软件使欧克文金融公司能够统一管理并加强对企业数据安全方面的政策，而且还可以将这些安全政策扩展到任何商业信息，不论这些信息储存在哪里，或者以何种格式储存。公司还能够监测到任何试图中断正常交易和程序的行为。一旦出现非正常行为，公司的工作人员就不能存取和查看相关信息。

美国安讯公司是一家第三方咨询公司，安讯公司首席执行官（CEO）曹莲娜认为，信息安全并非是安装一套防毒软件或者防火墙就结束了，信息安全最难的是怎样把它变成一套制度，让企业从上到下都了解信息安全的重要性。这里面既包括技术因素，也和整个公司的日常运作紧密相关，还涉及每个员工的安全意识问题。

在为花旗银行提供咨询时，安讯公司帮助其建立了一套信息安全制度，并设立了信息安全执行官的岗位。这套制度涉及很多细节，包括在桌子上摆放提醒信息安全的小物品等。制度建立以后，安讯公司还指导其IT部门到每一个部门进行相关的宣传教育，从而让每一个人都树立起信息安全意识。中国的银行机构也都建立了内部的信息安全制度，“为了保证系统的安全运转，内部系统的账号信息、客户信息都被视为绝对机密。”交通银行的兰福民说。

网上银行正成为金融机构越来越看重的业务发展平台。基于网上银行的美好前景，多数国内银行都愿意不惜血本地投资以解决安全问题，他们在网络技术领域的合作伙伴几乎都是世界上最好的科技公司。但是，当安全技术不断向前发展的同时，网络盗贼的本领也在迅速提高，网上银行运营者们还必须日夜提高警惕。

责编：admin