移动支付时代,要不要给支付账户投个保?

您可能在手机上使用了网银APP、支付宝、微信钱包、百度钱包、Apple/Samsung Pay、Google Wallet等等进行线上消费支付,更有可能通过这些平台,将您的钱转出去。尽管这些平台都有一些保障资金安全的控制措施,但是俗话说,不怕一万,就怕万一。您的手机口令安全保护措施可能会被突破,您的支付账户和密码也可能会被窃取,甚至您的短信验证码,也可能会被犯罪分子中途截获并恶意利用。

这并不是在恐吓您!特别是当您的大量私人信息被犯罪分子牢牢掌握的情况下,他们可能轻易地冒充您的身份,重置您的手机卡和支付密码。而通过暴力来进行威胁,抢夺走您的手机,要求您说出密码的情形也并不是不存在。再者,支付平台的安全性并不是人们相像中的那么坚实,您有100次的安全交易并不意味着第101次也没有问题,Microsoft、Google、Apple、BAT这些超级大鳄都有被黑客入侵,进而窃取大量用户帐户的黑暗历史记录,更有支付厂家买通黑客和媒体,隐藏不报客户信息泄密安全事故的情形。

既然这种万一情况不能完全避免,我们如何有更好的防范措施呢?有些胆小怕事的人就选择了不玩儿,他们不用网上支付,不管什么交易,都可以付现嘛!在他们的眼中,通过网络支付能获得的那一点儿优惠,和高风险比起来,算不了什么。另一些稍精明的人,只将没剩几个钱的银行卡与网上支付关联起来,他们给自己留下了底线:即使犯罪分子将里面所有的钱都给偷走了,因为里面的钱本身也就不多,所以自己的损失也不太大。只是麻烦在:经常要通过别的渠道如ATM机,把不同支付卡里的钱转来转去的。

当然,也有技术高超且胆子大的,他们将支付账户关联了借记卡、信用卡等支付卡,同时也启用了支付账户的安全保护措施,比如设置了相对复杂的支付密码,甚至启用了多重身份验证机制,比如U盾或动态令牌等。不可否认的是,也有一些更为广大的用户群,觉得支付简单快捷才是王道,安全是支付行业的基本内功,对用户来讲,最好透明仿佛不存在一样。但是他们还是希望,在出现万一的情形下,自己能够找回属于自己的钱财。

精明的保险公司看到了这块儿商机,他们推出了相应的保险产品,这当然也可能是支付平台的本意和初衷,海量的用户会怎么看呢?昆明亭长朗然科技有限公司金融安全观察员董志军说:我们从支付宝的统计数据看,支付宝账户资金损失的发生概率低于百万分之一,而购买保险的用户超过了十分之一,一两块钱的保费保额一百万。算下来,真是多赢的一个保险产品。

要不要给支付账户投个保呢?如果您的常规账户余额不足百万,我建议您投。但是如果您是个亿万富翁,我建议您还是别使用网络支付了,刷刷卡,或多带些现金,多给些小费,让社会变得更加和谐一些吧,哈哈。

其实,大部分使用移动支付的,并非亿万富翁,而那些胆小怕事儿的因为怕安全问题就不敢使用移动支付的,怕是也没多少亿万富翁。但是这批人,却决定着这个世界互联网信息化的最后成绩,要打动他们,需要的不仅仅是一个支付保险产品,更需要强化支付安全相关的普及教育。昆明亭长朗然公司推出了几部线上交易相关的安全意识课程和知识动画片,不仅能够帮助提升人们对移动支付和网络支付的信心,更能帮助打击网络金融犯罪,确保交易安全,提升经济活力。当然,对于支付卡行业,我们有针对性的PCI-DSS培训课程,欢迎联系我们预览我们的相关教育培训产品。

google-wallet-payment

短信认证对于线上交易并不安全

近来,黑客恶意复制或挂失电话卡的案例频频出现,他们此般恶劣手段的目标是击溃短信或电话认证,进而冒充他人身份,非法窃取他人的网络帐户和实施罪恶的线上交易活动。

一直以来,短信是网上银行和电商来校验用户身份的廉价和高效的机制之一,至少不必像动态口令那种多重身份验证机制需要投入硬件设备。短信的使用除了帮助验证网上交易的身份,还有一个好处是交易进行提醒,以便帐户被盗用后能及时响应,进而帮助挽回和防范进一步的损失。

黑客可能利用客户端的安全漏洞或人们脆弱的安全意识来传输和安装木马程序,进而通过个人电脑或架设钓鱼网站来窃取他人的网上交易帐户。多数网银和电商早已料到这点,并已经实施了多重的安全控管,特别是在交易环节进行额外的双重身份验证机制。

黑客现在面临的挑战是突破这第二重的身份验证机制,昆明亭长朗然科技有限公司的安全研究团队总结了黑客的如下几招方法并且进行了简单的分析。

第一种方法是通过远程控制,无论是远程控制软件还是社交工程诈骗都需要套取身份验证码,对于稍微有些安全常识的人们显然是很大的障碍。

第二种方法是绕过或突破二重身份验证,技艺超群的黑客可能挖掘和掌握了线上交易系统二重身份验证的安全漏洞,但这种情况并不多见,毕竟黑客的水平可能尚输一筹。

第三种方法则是欺骗二重身份验证措施,具体的方法类似中间人攻击,即穿插于线上系统和终端用户之间,套取用于的二重身份验证授权来骗得线上交易系统,这种方法对黑客技艺的要求和时间点的把握都比较高,成功的可能性相对较低。

第四种方法则是从用户端入手,即击溃二重身份验证的终端,简单粗暴的方式是盗窃和抢夺身份验证令牌如动态口令卡或手机,这显然风险较高,比较“稳妥”的方法是绕道获得这些设备或重置这些设备,其中针对电话和短信的认证很容易被击溃。

线上交易系统通过运营商发给终端用户的短信可能轻易被黑客通过网络窃取,黑客更能花少量投入便可克隆受害人的电话号码,当然最经济的还是持假身份证到运营商那儿挂失并重办一张电话卡。

运营商有充分的理由称其没有办法鉴定用户身份的真假,受害者又接受了在线交易服务条款,问题出在哪里?显然,多个环节是环环相扣,最大的问题当然是受害者的线上安全意识不足,至少没有充分认识到线上交易的风险特别是短信认证的先天缺陷。

同时线上交易提供商和移动网络运营商也应该有所做为,多数发达国家已经制定法律,要求网银对非客户授权的交易负责。即使银行仍然是政府的提款机,会受到一定程度的保护,但激烈的市场竞争、上市后的严格监管以及融入世界的大趋势,让垄断的“好日子”不会永久持续。

从技术层面来讲,短信认证和短信提醒功能不需废弃,而是需要增加第三重的身份验证措施。而道高一尺,魔高一丈,要有效遏制网络犯罪分子的罪恶活动,还需要加强对线上交易用户进行信息安全意识教育,这方面的重任无疑应该由线上交易服务提供商来担当。

俗话说“当局者迷,旁观者清”,线上交易服务商更多专注于核心的价值——提升身份验证方面的客户体验和改善交易的安全控管技术,在客户安全意识培训计划的制定和线上交易安全指导教程的开发方面则需要第三方的专业安全意识培训机构来帮忙,而昆明亭长朗然科技有限公司是安全意识教育方面的领导厂商,无疑是线上交易服务提供商的最佳的安全意识教育合作伙伴。

我们的方法是学习和分析造成线上交易安全事故的“人为”原因,并且根据客户的实际业务环境,量身定制适当的安全意识教育方案和制作开发相关的线上安全意识培训内容。