陳艷

美國(guó)個(gè)人消費(fèi)信用評(píng)估公司在2018年進(jìn)行了一次調(diào)查。在過(guò)去一年中，超過(guò)三分之一的金融服務(wù)公司高管表示，他們公司的網(wǎng)絡(luò)被攻擊事件增加了25%。雖然網(wǎng)絡(luò)攻擊可以威脅到任何類型和規(guī)模的公司，但顯而易見(jiàn)的是，金融服務(wù)公司是網(wǎng)絡(luò)犯罪分子和欺詐者的首要目標(biāo)。

金融機(jī)構(gòu)網(wǎng)絡(luò)欺詐風(fēng)險(xiǎn)不斷上升

犯罪分子對(duì)環(huán)球銀行金融電信協(xié)會(huì)（Swift，Society for Worldwide Interbank Financial Telecommunications）實(shí)施的一系列網(wǎng)絡(luò)欺詐攻擊促使全行業(yè)對(duì)信息技術(shù)安全措施進(jìn)行了審查，這使得東南亞及其他地區(qū)金融機(jī)構(gòu)網(wǎng)絡(luò)欺詐不斷上升的風(fēng)險(xiǎn)更加引人關(guān)注。為了加強(qiáng)全球銀行業(yè)務(wù)平臺(tái)的安全性，Swift采取了由五部分組成的客戶安全計(jì)劃，但其首席執(zhí)行官警告說(shuō)，“未來(lái)仍然會(huì)有更多的攻擊”。

發(fā)展中國(guó)家往往缺乏檢測(cè)和阻止此類攻擊的技術(shù)資源，因此這些國(guó)家的網(wǎng)絡(luò)欺詐風(fēng)險(xiǎn)更高。咨詢顧問(wèn)機(jī)構(gòu)通亞公司將東南亞視為對(duì)金融機(jī)構(gòu)進(jìn)行網(wǎng)絡(luò)欺詐的高風(fēng)險(xiǎn)地區(qū)。

近年來(lái)亞洲一系列的欺詐案例表明，“新”欺詐實(shí)際上好比新瓶裝舊酒。近年來(lái)，雖然各方公布的欺詐案數(shù)量眾多，但據(jù)估計(jì)，只有20%的欺詐案件被曝光并公之于眾，其余欺詐行為或是未被發(fā)現(xiàn)，或是基于聲譽(yù)、影響等風(fēng)險(xiǎn)而未公開(kāi)。

亞洲銀行過(guò)去的種種危機(jī)包括貸款質(zhì)量的惡化、客戶缺乏信心、貸款做法不健全、信貸控制松懈、新業(yè)務(wù)部門(mén)多元化、過(guò)度貸款和負(fù)債管理不善等。即使銀行風(fēng)險(xiǎn)管理的框架與技術(shù)隨著時(shí)間的推移有所改善，緩解了這些風(fēng)險(xiǎn)，然而，另一場(chǎng)可能導(dǎo)致銀行倒閉的危機(jī)——欺詐風(fēng)險(xiǎn)，仍然難以預(yù)測(cè)和管理。銀行和金融系統(tǒng)固有的弱點(diǎn)為欺詐活動(dòng)提供了渠道，加上金融發(fā)展步伐加快，在實(shí)現(xiàn)短期回報(bào)時(shí)，欺詐攻擊可能會(huì)增加。

2016年2月，孟加拉國(guó)家銀行在紐約聯(lián)邦儲(chǔ)備銀行賬戶上的8100萬(wàn)美元網(wǎng)絡(luò)盜竊案的資金已經(jīng)追蹤到了菲律賓。另?yè)?jù)報(bào)道，香港恰恰是2015年年初厄瓜多爾銀行200萬(wàn)美元網(wǎng)絡(luò)盜竊案贓款追蹤的末端，而菲律賓也是2015年10月早些時(shí)候襲擊的目標(biāo)。

通亞公司認(rèn)為，柬埔寨、緬甸、印度尼西亞和菲律賓的金融機(jī)構(gòu)將會(huì)是東南亞地區(qū)因信息技術(shù)安全措施松懈、治理和執(zhí)法薄弱而受到網(wǎng)絡(luò)欺詐攻擊風(fēng)險(xiǎn)最大的國(guó)家，那里更便于跨國(guó)犯罪。但即便是其他國(guó)家也未必能幸免于難，例如泰國(guó)就是銀行ATM機(jī)受到大規(guī)模欺詐的重災(zāi)區(qū)。最令人不安的是，犯罪行為發(fā)生在曼谷繁忙、富裕的地區(qū)，這讓曼谷居民擔(dān)心他們?cè)诔鞘械娜魏蔚胤绞褂肁TM機(jī)都不安全。

這種形式的ATM犯罪被稱為ATM略讀，犯罪分子會(huì)將設(shè)備放置在ATM機(jī)的數(shù)字鍵盤(pán)和卡的插入點(diǎn)上，用來(lái)讀取那些毫無(wú)戒心的受害者正在使用的銀行卡的數(shù)據(jù)和密碼。在某些情況下，犯罪分子會(huì)使用一個(gè)小攝像頭來(lái)秘密監(jiān)控密碼。對(duì)許多人來(lái)說(shuō)，這些事件已經(jīng)提高了他們的安全意識(shí)，但同時(shí)在ATM機(jī)上使用銀行卡確實(shí)存在潛在風(fēng)險(xiǎn)，因此許多專家正在為銀行卡推廣芯片和密碼卡以提高安全性。

曼谷銀行此前曾建議泰國(guó)的每一家銀行在未來(lái)兩年內(nèi)都應(yīng)采用“芯片內(nèi)PIN”系統(tǒng)。曼谷銀行被認(rèn)為是泰國(guó)第一家引進(jìn)這項(xiàng)技術(shù)的銀行，許多銀行也都紛紛效仿，并申請(qǐng)新的技術(shù)或者尋找其他替代方案，以解決ATM犯罪問(wèn)題。曼谷銀行副經(jīng)理解釋說(shuō)，“在芯片和PIN系統(tǒng)下，芯片卡將包含一個(gè)小CPU在卡內(nèi)。一旦卡插入機(jī)器，存儲(chǔ)在磁標(biāo)簽和CPU中的信息必須相互匹配。主賬戶信息存儲(chǔ)在芯片中，訪問(wèn)它需要單獨(dú)的密碼。即使卡被略讀，被篡改的機(jī)器也只能訪問(wèn)部分信息，存儲(chǔ)在芯片內(nèi)部的信息將無(wú)法被侵入者使用”。大城銀行執(zhí)行副總裁則表示，“大城銀行目前正在選擇適當(dāng)?shù)能浖透倪M(jìn)ATM系統(tǒng)，但銀行需要花費(fèi)大量資金來(lái)改變操作系統(tǒng)，每臺(tái)機(jī)器至少要花費(fèi)二十萬(wàn)至三十萬(wàn)泰銖才能更換”。

“沒(méi)有一個(gè)系統(tǒng)可以100%防止欺詐”

與此同時(shí)，暹羅商業(yè)銀行執(zhí)行副總裁表示，“沒(méi)有一個(gè)系統(tǒng)可以100%地防止欺詐行為。此前我們?cè)鴩L試在ATM機(jī)上安裝反略讀系統(tǒng)，盡管采取了新的安全措施，但侵入者成功破解了該系統(tǒng)，并找到了查找用戶信息的方法，所以轉(zhuǎn)換成芯片卡系統(tǒng)并不能保證欺詐行為就此消失。而且，考慮到所有潛在的成本，大約需要一千年的時(shí)間才能獲得利潤(rùn)”。暹羅商業(yè)銀行目前大約有9000臺(tái)自動(dòng)取款機(jī)在運(yùn)作，其中70%的自動(dòng)取款機(jī)不能讀取芯片卡，而市面上流通的借記卡和信用卡有1000多萬(wàn)張。

曼谷銀行副經(jīng)理也認(rèn)為，芯片和PIN系統(tǒng)并不是一勞永逸的解決方法。他說(shuō)：“不管防欺詐技術(shù)的發(fā)展如何，客戶都應(yīng)該時(shí)刻警惕他們的賬戶變動(dòng)，因?yàn)榉缸飯F(tuán)伙也在開(kāi)發(fā)他們自己的技術(shù)來(lái)獲取資金持有人的信息。客戶自身應(yīng)當(dāng)加強(qiáng)預(yù)防措施，比如選擇ATM機(jī)的安全位置（如銀行內(nèi)部或周圍）、注意機(jī)器的任何異常情況、經(jīng)常更改密碼等，另一種選擇是開(kāi)通短信提醒，查看賬戶的流動(dòng)情況，每月僅10泰銖，以換取更安全的服務(wù)。”金融消費(fèi)者保護(hù)中心（FCPC，F(xiàn)inancial Consumer Protection Centre）的主管還建議客戶要做好風(fēng)險(xiǎn)防范的最后一道防線。她說(shuō)：“技術(shù)發(fā)展迅速，我們必須學(xué)會(huì)如何預(yù)防風(fēng)險(xiǎn)。如果客戶在自動(dòng)取款機(jī)上發(fā)現(xiàn)任何可疑的情況，應(yīng)該盡快告知機(jī)器操作員?！?/p>

許多網(wǎng)絡(luò)安全專家認(rèn)為，很多快速攻擊是由同一組黑客進(jìn)行的。聯(lián)邦調(diào)查局的介入曾使朝鮮卷入當(dāng)年的索尼黑客事件，而許多信息技術(shù)領(lǐng)域以外的安全專家則駁斥了朝鮮直接參與這些快速攻擊的說(shuō)法。

《時(shí)代》周刊在針對(duì)諸多攻擊事件所作的調(diào)查報(bào)告中曾經(jīng)援引過(guò)一位知情人士的話語(yǔ)，稱一些網(wǎng)絡(luò)黑客發(fā)現(xiàn)了最初的漏洞后將信息出售給了網(wǎng)絡(luò)犯罪集團(tuán)。其實(shí)，無(wú)論由誰(shuí)來(lái)承擔(dān)這些攻擊的責(zé)任，都應(yīng)該重視加強(qiáng)安全防御，以防止未來(lái)的攻擊。在越南，該國(guó)領(lǐng)先的網(wǎng)絡(luò)安全公司BKAV認(rèn)為，30%的越南商業(yè)銀行的網(wǎng)站存在漏洞，其中三分之二的網(wǎng)站存在網(wǎng)絡(luò)攻擊的中高風(fēng)險(xiǎn)。在欠發(fā)達(dá)的東南亞國(guó)家，如柬埔寨和緬甸，這個(gè)數(shù)字可能要高得多。

“Swift遭遇的攻擊使他們需要更嚴(yán)格的網(wǎng)絡(luò)安全協(xié)議，但再嚴(yán)格的措施也不夠，”數(shù)據(jù)衍生品公司的創(chuàng)始人兼金融犯罪技術(shù)顧問(wèn)福斯特解釋說(shuō)，“因?yàn)檫€有其他方法可以啟動(dòng)支付，例如通過(guò)社會(huì)工程，甚至還有極端的例子——扣押核心員工的家人作為人質(zhì)。那么當(dāng)安全措施失敗時(shí)，還能做什么呢？”福斯特建議開(kāi)發(fā)一種模型，在該模型中，銀行可以在支付信息離開(kāi)銀行網(wǎng)絡(luò)之前檢測(cè)到對(duì)快速支付流量的欺詐行為，即通過(guò)歷史交易記錄檢測(cè)現(xiàn)時(shí)交易，如有偏離歷史交易習(xí)慣的行為，則被認(rèn)為涉嫌信用卡欺詐。相信類似的欺詐檢測(cè)模型可以在支付信息離開(kāi)銀行網(wǎng)絡(luò)之前應(yīng)用于Swift的支付檢測(cè)。

“快速攻擊可能只是大規(guī)模行動(dòng)的開(kāi)始，網(wǎng)絡(luò)犯罪組織系統(tǒng)地瞄準(zhǔn)弱勢(shì)銀行并利用已知的漏洞，”福斯特說(shuō)，“一系列的攻擊事件可能會(huì)加速圍繞突破性技術(shù)創(chuàng)新的討論，例如使用區(qū)塊鏈生態(tài)系統(tǒng)作為高價(jià)值跨境資金轉(zhuǎn)移的替代方案。”

編輯：薛華 ?icexue0321@163.com