一直以來(lái)標(biāo)榜自己比互聯(lián)網(wǎng)金融風(fēng)控、安全技術(shù)更優(yōu)的商業(yè)銀行如今也中招。近日，來(lái)自“烏云”、“補(bǔ)天”等多家漏洞響應(yīng)平臺(tái)的數(shù)據(jù)顯示，部分銀行網(wǎng)站存在漏洞，銀行轉(zhuǎn)賬記錄、交易時(shí)間、持卡人戶名、賬戶等信息存泄露風(fēng)險(xiǎn)。
例如，最近被曝出網(wǎng)站系統(tǒng)存在漏洞的包商銀行可被利用查看部分銀行轉(zhuǎn)賬記錄，包括轉(zhuǎn)賬金額、時(shí)間以及持卡人戶名、賬號(hào)、電話號(hào)碼等信息。據(jù)了解，該漏洞現(xiàn)在已被包商銀行修復(fù)。
不僅如此，此前百度安全、烏云都曾發(fā)布警告，某大型銀行網(wǎng)銀存在重大漏洞。百度安全指出，該銀行網(wǎng)銀助手等安全控件存在“災(zāi)難級(jí)”漏洞，該漏洞可致遠(yuǎn)程任意代碼執(zhí)行，對(duì)用戶電腦安全造成極大危害。烏云則對(duì)該漏洞給出了詳細(xì)的說(shuō)明，該漏洞的具體執(zhí)行過(guò)程為：該行網(wǎng)銀控件在安裝和每次啟動(dòng)時(shí)，會(huì)自動(dòng)檢查網(wǎng)銀環(huán)境，這時(shí)它會(huì)將自家網(wǎng)站地址添加到IE的受信任站點(diǎn)列表里，并且把“對(duì)未標(biāo)記為可安全執(zhí)行腳本的ActiveX控件初始化并執(zhí)行腳本”的開(kāi)關(guān)設(shè)置為啟動(dòng)。
一旦啟用了這一選項(xiàng)，信用站點(diǎn)列表中的網(wǎng)站可以無(wú)需用戶許可即能執(zhí)行高危代碼，比如打開(kāi)任意程序、讀寫(xiě)本地文件。不僅如此，很多ActiveX會(huì)將自身的域名寫(xiě)入“受信任列表”，降低了黑客攻擊難度，從而導(dǎo)致風(fēng)險(xiǎn)擴(kuò)大。故而當(dāng)用戶訪問(wèn)“受信任列表”中的網(wǎng)站時(shí)(如網(wǎng)購(gòu)的時(shí)候)，將可能會(huì)遭遇惡意攻擊(黑客采用XSS攻擊、DNS劫持、WiFi釣魚(yú)等手段，在公共網(wǎng)絡(luò)環(huán)境下的風(fēng)險(xiǎn)尤為嚴(yán)重)，通過(guò)執(zhí)行任意惡意代碼，給電腦帶來(lái)極高風(fēng)險(xiǎn)。
近年來(lái)，網(wǎng)絡(luò)安全問(wèn)題日趨嚴(yán)重，相關(guān)報(bào)告指出，網(wǎng)民因?yàn)榫W(wǎng)絡(luò)詐騙、垃圾信息、個(gè)人信息泄露等侵權(quán)現(xiàn)象而產(chǎn)生的損失達(dá)千億元。那么，金融機(jī)構(gòu)網(wǎng)站漏洞會(huì)給消費(fèi)者帶來(lái)怎樣的影響？專家表示，部分敏感信息通過(guò)金融機(jī)構(gòu)網(wǎng)站漏洞泄露，最直接的影響是導(dǎo)致推銷電話騷擾乃至財(cái)產(chǎn)損失。例如，這些漏洞可能泄露大量用戶數(shù)據(jù)，如郵箱、手機(jī)、銀行賬號(hào)等。泄露的信息主要被用于電話銷售、欺詐投資等用途。
中國(guó)電子信息產(chǎn)業(yè)發(fā)展研究院副院長(zhǎng)樊會(huì)文指出，按照全國(guó)人大常委會(huì)《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》，遭遇信息泄露的個(gè)人有權(quán)要求網(wǎng)絡(luò)服務(wù)提供者刪除有關(guān)信息或者采取其他必要措施予以制止。但實(shí)際情況是，消費(fèi)者很難通過(guò)技術(shù)手段驗(yàn)證泄密源頭的責(zé)任，難以維權(quán)。在維權(quán)難的現(xiàn)實(shí)下，客戶只能盡量降低自身風(fēng)險(xiǎn)，包括保護(hù)好敏感信息和動(dòng)態(tài)交易碼，不要輕信不明電話和短信，留意短信中的提示網(wǎng)站是否與銀行對(duì)外公布的網(wǎng)站域名一致。另外，客戶在辦理銀行卡時(shí)，不管是儲(chǔ)蓄卡還是信用卡，盡量要開(kāi)通短信提醒業(yè)務(wù)，雖然有的銀行要收取短信通知手續(xù)費(fèi)，但比起資金安全，這點(diǎn)手續(xù)費(fèi)的支出還是必要的。
(北京商報(bào))