移动金融服务安全性的未来思考

移动设备在生活的各个方面的使用仍然在快速增长,从几乎每天使用银行应用程序到远程访问工作,它成为一个可行的,目前非常有利可图的渠道,黑客可以通过该渠道来窃取敏感数据。在过去几年中,我们已经看到网络犯罪集团将其传统的以桌面为重点的武器库,扩展到现在包括移动计算领域。对此,相信人们不会陌生,不过,昆明亭长朗然科技有限公司移动计算安全专员董志军表示:成熟的网络犯罪团伙不仅已经闯入移动领域,更有一些新的玩家在积极部署移动银行木马,一些泄露的源代码表明,进入移动金融服务木马领域的门槛并不高。

现在,银行升级其网络安全措施以包括移动设备的安全性,是一件比以往任何时候都更加重要的工作,以便无论用户使用哪种渠道使用金融服务,最终都受到保护。

移动金融服务攻击手法分析

网络犯罪团伙通过引入克隆外貌但实质上虚假的登录页面来欺骗用户,它们看起来与用户在浏览银行合法网站时或使用官方移动应用程序时看到的内容相同,这与人们常说的钓鱼网站还有一些差别,在于它们被打包在木马应用程序中,它们拥有或者根本没有不断变化的难以追踪的后台服务系统。

一旦设备被感染,该木马就发挥其强大的功能,可以识别该设备上的哪些银行应用程序,或受害者当前正在查看的银行网站,并使用该信息显示相应的虚假页面。从视觉上看,没有任何东西可以向最终用户表明他们将敏感信息直接输入到了恶意应用程序中。

安全防范之道探讨

金融服务业者如银行该如何防范这类攻击呢?对此,董志军说:移动金融应用主要是为了提升便利性,所以在交易认证方面没有传统的多重认证措施如物理令牌等的安全性高,尽管不少银行也推出针对手机的多因子认证硬件,但由于这些玩艺儿需要额外携带,多少有些不便,所以很多银行都只是在一定限额之上才启用它。很多移动应用都是在用户刷指纹后对小额交易“无密”支付。不管如何,这种方法要求用户输入他们的银行登录账号和密码,同时提供了与他们正在进行的特定交易相关的短期一次性代码。无可质疑的是,这使攻击者更难以尝试从受感染的移动电话进行欺诈性交易。

不过,是不是金融服务业者更新了如手机多因子认证等移动金融安全措施之后,就可以免受犯罪团伙的操控,可以高枕无忧地使用移动金融交易呢?董志军警示说:不要太过乐观,路子还很长,一方面,移动木马应用程序可以冒充成“中间人”,进而击溃多因素身份认证,在用户进行移动金融交易时进行欺骗;另一方面,仍然是传统的社交工程诈骗威胁,即所谓大众媒体常称的电信诈骗,再强大的安全技术措施,也难防范犯罪团伙对用户的大脑操控。

那么,该如何从移动金融应用终端层面入手,防范不断翻新的移动金融服务攻击呢?董志军强调:要回归到安全控管的本质核心三要素,即人员、技术、流程,在不断加强技术和流程方面的移动金融安全管控之时,金融服务业者也应该不断强化人员的安全工作,即提升用户的安全技能和意识。这样,方能让人员、技术和流程三者有机紧密结合,用户的安全防范意识提升了,移动金融应用的操作更符合安全流程要求,当然犯罪团伙便很难利用“人脑”的脆弱和恶意的移动木马程序来实施欺诈性交易。

移动金融安全攻防总结

说到底,移动金融的安全技术和管理控制措施都是要应用于人员(用户)的身上的,如果用户的安全能力跟不上,不理解或不支持这些安全控管措施,远远落后于网络犯罪团伙的知识能力,那这种严重的安全攻防势态的不对等、不平衡态势必将造成大量的“冲突”,即不断出现欺诈性交易事件。

昆明亭长朗然科技有限公司常年专注于帮助各类型的机构强化对其员工及/或用户的安全意识教育,我们不仅提供标准化的安全意识教程,更能针对各组织机构的独特业务与信息安全情况,根据信息安全标准、流程和各类控管措施,设计制作相对应的信息安全意识防范宣教内容。欢迎有需要或有兴趣的客户及行业合作伙伴联系我们,洽谈业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

设置移动设备的访问密码

移动设备应该被使用访问密码来保护,同时也应该设置自动锁屏功能,以防止在设备失窃时他人获取我们的数据。

为平板电脑设置图案密码会有一点儿影响工作效率,不过带着平板在外面跑,甚至就把平板放在家里,意外安全事件的发生都是无法完全避免的。

为了防止他人未经许可滥用平板,降低意外事件可能造成的重大损失,我们宁可愿意牺牲一小点儿效率,通过启用平板电脑的访问密码、设置休眠自动锁屏以及按下电源时立即上锁,以获得更好的信息安全保障。

万一我们所使用的移动设备丢失或者损毁,通过使用在线数据备份与恢复服务、远程控制与数据擦除功能等等,在防范信息数据泄露和保护个人隐私的同时,将对正常工作的影响降至最低程度。

在公共场所输入密码时注意防止他人偷看,特别是近期有曝光有黑客和软件通过分析手势动作来获得密码,准确率还是很高的。

不用密码保护如何?

有电子极客喜欢挑刺儿,说密码锁屏那是古时候的事情了,现在流行按手或刷脸。嘿,我得对潮人说谢谢给我们这些搞安全的科普一下流行的技术,不过我们搞安全的,在智能手机还没流行之前,早就知晓了图案、指纹或面部识别等技术存在的局限性。

基本上,生理特征相关的身份识别技术会提升效率,但是在精确度方面,比如正确之人的拒绝率和错误之人的通过率,还不是很理想,当然科技一直在进步,肯定会起来越好。话说回来,目前在很多移动设备上,若要开启如指纹或面部识别功能,首先还是要设置密码,为什么呢?昆明亭长朗然科技有限公司移动计算安全专员董志军说:密码仍然是基础,指纹和面部的特征可能不稳定或容易被伪造或骗过。

更多与移动设备锁定相关的问题探讨

尽管如手机之类的移动设备处于锁定状态,仍然不见得就“安全”。有很多应用会通过锁定的屏幕发出“通知”,这些“通知”往往是通讯相关的APP发出的,容易泄露个人隐私。通过“划一划”屏幕,锁定状态下的很多设备控制功能仍然可以实现,比如拍照、开启或关闭一些基本通讯功能等等,比如在语音和数据通讯以及定位功能在关闭了之后,人们就很难再跟踪和找寻丢失的设备了。

您可能会说这些锁屏状态下APP能够发出的通知,以及快速控制的功能,往往是为了方便使用者。此话,没错。专业人士常说,安全就是一种平衡,在便利性和保密性之间要有一个取舍。如果您觉得不需要在锁屏状态下让APP冒出那么多涉及个人隐私甚至工作机密的“通知”,您则应该关闭它们。

通常来讲,在大概率情况下,您重视安全的话,就可以获得安全。相反,您不重视安全,就容易引来灾害。说到底,包括移动设备安全在内的信息安全的成功,关键在于人们是否重视,也就是人们有没有保护安全的意识觉悟,只有人们的安全防范意识提升了,才会付诸于保障安全的行动。

希望我们的一些建议和倡议能帮助您。昆明亭长朗然科技有限公司创作了数百部网络安全教育视频课程以及宣传图片,数百万学员通过我们的作品提升了安全防范意识、信息保密意识及合规守法意识,不仅保护好了自己,也给所在工作单位带来了安全收益,形成了一道强有力的安全人员防线。欢迎有类似需求的领导们及信息安全产品厂商、服务商、合作伙伴们与我们联系,洽谈业务合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898