全球网络金融欺诈层出不穷

陈艳

美国个人消费信用评估公司在2018年进行了一次调查。在过去一年中，超过三分之一的金融服务公司高管表示，他们公司的网络被攻击事件增加了25%。虽然网络攻击可以威胁到任何类型和规模的公司，但显而易见的是，金融服务公司是网络犯罪分子和欺诈者的首要目标。

金融机构网络欺诈风险不断上升

犯罪分子对环球银行金融电信协会（Swift，Society for Worldwide Interbank Financial Telecommunications）实施的一系列网络欺诈攻击促使全行业对信息技术安全措施进行了审查，这使得东南亚及其他地区金融机构网络欺诈不断上升的风险更加引人关注。为了加强全球银行业务平台的安全性，Swift采取了由五部分组成的客户安全计划，但其首席执行官警告说，“未来仍然会有更多的攻击”。

发展中国家往往缺乏检测和阻止此类攻击的技术资源，因此这些国家的网络欺诈风险更高。咨询顾问机构通亚公司将东南亚视为对金融机构进行网络欺诈的高风险地区。

近年来亚洲一系列的欺诈案例表明，“新”欺诈实际上好比新瓶装旧酒。近年来，虽然各方公布的欺诈案数量众多，但据估计，只有20%的欺诈案件被曝光并公之于众，其余欺诈行为或是未被发现，或是基于声誉、影响等风险而未公开。

亚洲银行过去的种种危机包括贷款质量的恶化、客户缺乏信心、贷款做法不健全、信贷控制松懈、新业务部门多元化、过度贷款和负债管理不善等。即使银行风险管理的框架与技术随着时间的推移有所改善，缓解了这些風险，然而，另一场可能导致银行倒闭的危机——欺诈风险，仍然难以预测和管理。银行和金融系统固有的弱点为欺诈活动提供了渠道，加上金融发展步伐加快，在实现短期回报时，欺诈攻击可能会增加。

2016年2月，孟加拉国家银行在纽约联邦储备银行账户上的8100万美元网络盗窃案的资金已经追踪到了菲律宾。另据报道，香港恰恰是2015年年初厄瓜多尔银行200万美元网络盗窃案赃款追踪的末端，而菲律宾也是2015年10月早些时候袭击的目标。

通亚公司认为，柬埔寨、缅甸、印度尼西亚和菲律宾的金融机构将会是东南亚地区因信息技术安全措施松懈、治理和执法薄弱而受到网络欺诈攻击风险最大的国家，那里更便于跨国犯罪。但即便是其他国家也未必能幸免于难，例如泰国就是银行ATM机受到大规模欺诈的重灾区。最令人不安的是，犯罪行为发生在曼谷繁忙、富裕的地区，这让曼谷居民担心他们在城市的任何地方使用ATM机都不安全。

这种形式的ATM犯罪被称为ATM略读，犯罪分子会将设备放置在ATM机的数字键盘和卡的插入点上，用来读取那些毫无戒心的受害者正在使用的银行卡的数据和密码。在某些情况下，犯罪分子会使用一个小摄像头来秘密监控密码。对许多人来说，这些事件已经提高了他们的安全意识，但同时在ATM机上使用银行卡确实存在潜在风险，因此许多专家正在为银行卡推广芯片和密码卡以提高安全性。

曼谷银行此前曾建议泰国的每一家银行在未来两年内都应采用“芯片内PIN”系统。曼谷银行被认为是泰国第一家引进这项技术的银行，许多银行也都纷纷效仿，并申请新的技术或者寻找其他替代方案，以解决ATM犯罪问题。曼谷银行副经理解释说，“在芯片和PIN系统下，芯片卡将包含一个小CPU在卡内。一旦卡插入机器，存储在磁标签和CPU中的信息必须相互匹配。主账户信息存储在芯片中，访问它需要单独的密码。即使卡被略读，被篡改的机器也只能访问部分信息，存储在芯片内部的信息将无法被侵入者使用”。大城银行执行副总裁则表示，“大城银行目前正在选择适当的软件和改进ATM系统，但银行需要花费大量资金来改变操作系统，每台机器至少要花费二十万至三十万泰铢才能更换”。

“没有一个系统可以100%防止欺诈”

与此同时，暹罗商业银行执行副总裁表示，“没有一个系统可以100%地防止欺诈行为。此前我们曾尝试在ATM机上安装反略读系统，尽管采取了新的安全措施，但侵入者成功破解了该系统，并找到了查找用户信息的方法，所以转换成芯片卡系统并不能保证欺诈行为就此消失。而且，考虑到所有潜在的成本，大约需要一千年的时间才能获得利润”。暹罗商业银行目前大约有9000台自动取款机在运作，其中70%的自动取款机不能读取芯片卡，而市面上流通的借记卡和信用卡有1000多万张。

曼谷银行副经理也认为，芯片和PIN系统并不是一劳永逸的解决方法。他说：“不管防欺诈技术的发展如何，客户都应该时刻警惕他们的账户变动，因为犯罪团伙也在开发他们自己的技术来获取资金持有人的信息。客户自身应当加强预防措施，比如选择ATM机的安全位置（如银行内部或周围）、注意机器的任何异常情况、经常更改密码等，另一种选择是开通短信提醒，查看账户的流动情况，每月仅10泰铢，以换取更安全的服务。”金融消费者保护中心（FCPC，Financial Consumer Protection Centre）的主管还建议客户要做好风险防范的最后一道防线。她说：“技术发展迅速，我们必须学会如何预防风险。如果客户在自动取款机上发现任何可疑的情况，应该尽快告知机器操作员。”

许多网络安全专家认为，很多快速攻击是由同一组黑客进行的。联邦调查局的介入曾使朝鲜卷入当年的索尼黑客事件，而许多信息技术领域以外的安全专家则驳斥了朝鲜直接参与这些快速攻击的说法。

《时代》周刊在针对诸多攻击事件所作的调查报告中曾经援引过一位知情人士的话语，称一些网络黑客发现了最初的漏洞后将信息出售给了网络犯罪集团。其实，无论由谁来承担这些攻击的责任，都应该重视加强安全防御，以防止未来的攻击。在越南，该国领先的网络安全公司BKAV认为，30%的越南商业银行的网站存在漏洞，其中三分之二的网站存在网络攻击的中高风险。在欠发达的东南亚国家，如柬埔寨和缅甸，这个数字可能要高得多。

“Swift遭遇的攻击使他们需要更严格的网络安全协议，但再严格的措施也不够，”数据衍生品公司的创始人兼金融犯罪技术顾问福斯特解释说，“因为还有其他方法可以启动支付，例如通过社会工程，甚至还有极端的例子——扣押核心员工的家人作为人质。那么当安全措施失败时，还能做什么呢？”福斯特建议开发一种模型，在该模型中，银行可以在支付信息离开银行网络之前检测到对快速支付流量的欺诈行为，即通过历史交易记录检测现时交易，如有偏离历史交易习惯的行为，则被认为涉嫌信用卡欺诈。相信类似的欺诈检测模型可以在支付信息离开银行网络之前应用于Swift的支付检测。

“快速攻击可能只是大规模行动的开始，网络犯罪组织系统地瞄准弱势银行并利用已知的漏洞，”福斯特说，“一系列的攻击事件可能会加速围绕突破性技术创新的讨论，例如使用区块链生态系统作为高价值跨境资金转移的替代方案。”

编辑：薛华  icexue0321@163.com