移动金融客户端应用安全风险分析

2020-02-28张绍明

经济技术协作信息 2020年24期

◎张绍明

随着数字化转型升级，特别是5G 时代的到来，移动金融客户端应用已融入到人们衣、食、住、行的方方面面，在国民生产和生活中发挥越来越重要的作用，但移动金融客户端应用所引发的隐私曝光、资金被盗等事件也越发频繁，严重阻碍了社会经济的健康发展，如何识别并防范移动客户端应用的风险具有重要的现实意义。

一、移动金融客户端应用安全背景

移动金融是对通过互联网技术在移动智能终端上开展金融业务活动的总称。移动金融较传统金融服务而言，具有方便快捷、内容丰富、服务高效和成本低廉的显著优势。随着移动互联网和通信技术的不断发展，特别是面临5G 时代的到来，各行各业包括金融行业均在不断加速移动端应用的布局。

1. 移动端已成为互联网流量最大的入口。根据中国互联网报告和工信部官网信息显示，2019 年中国移动端互联网接入消费流量达到1210 亿GB，是全球平均水平的1.2 倍，占我国互联网总流量的99.1%，，较2018 年增长72.4%。

2.移动应用程序（APP）数量庞大，种类繁多。截至2019 年12 月，我国移动应用程序（APP）数量达到367 万款，涉及游戏、日常工具、电子商务、金融类等种类，其中金融类移动应用程序（APP）在第三方应用商店下载总量就达到520 亿次。

3. 移动支付用户和交易规模显著上升。2019 年网络支付用户规模达到7.68亿，同比增长31.7%，其中移动支付用户规模达到7.65 亿，占用户总数的99.6%；2019年银行业移动金融客户端交易笔数1214。51 亿笔，交易金额335.63 万亿元，同比增长38.88%。

4.金融机构营业网点呈缩减趋势。随着金融科技的飞速发展，特别是移动金融客户端的应用，各金融机构均逐步放缓了物理网点扩张的脚步，并出现网点数量缩减的趋势。根据数据显示2018 年4 月-2019 年4 月银行业金融机构网点退出3605 家，而同期营业网点设立总数为3168 家，减少437 家。

二、移动金融客户端应用分类及特点

根据提供的金融服务不同，移动金融客户端应用APP 可分三大类，分别为资金交易类、信息采集类、资讯查询类。移动金融客户端应用较传统银行IC 卡应用存在明显的差异。具体表现在以下几个方面：

1. 移动金融客户端应用基于的平台更加开放。传统银行IC 卡使用的是订制的卡内操作系统（COS），不同的COS 之间的应用差别也相当大，COS 的完善程度决定了IC 卡的应用广度和深度。当前移动金融客户端应用主要基于的系统平台有Android（安卓）和IOS（苹果）操作系统，他们除了为手机用户提供统一的接口和友好交互界面外，最大的特点是开放性，给第三方提供了广泛、自由的开发环境，允许各厂商推出各具特色、实用性好、新颖别致的应用。

2.移动金融客户端应用（app）功能更趋多元化。传统IC 卡业务功能相对较单一，主要为支付功能，而移动金融客户端应用功能除支付以外，逐步进入“场景化”时代，涵盖生活圈、公交地铁、餐饮、超市便利、公共缴费、自助售货、校园、食堂、医疗健康、交通罚款等人们的日常衣、食、住、行。

3.系统应用开发迭代速度更快。传统IC 卡业务更新迭代较慢，而移动金融客户端应用开发迭代相对较快，能根据不同应用场景、客户需求、用户体验和反馈，不断进行更新完善，更新频率以月，有的甚至以周为单位。

4.移动金融客户端应用引入较多的外部组件。为应对激烈的市场竞争，快速、高效的上线应用程序或完善系统功能，移动应用程序在应用开发过程中会大量引入第三方SDK（Software Development Kit），例如地图、多媒体、社交分享、支付、客服工具、运营分析、验证推送等功能组件，而传统IC 卡业务一般很少引入外部组件。

5.安全防护以软件防护为主。传统银行IC 卡业务一般通过安全芯片进行保护，而移动金融客户端应用安全防护主要依靠手机安装的安全防护软件，在硬件防护方面则依赖客户自行购买的手机本身，不同厂商不同价位的配置相差较大。

6.通信方式的多元化。传统银行业务通信方式单一，主要通过客户前置系统响应客户请求，而移动金融客户端应用主要依托移动智能终端，可以采取多种交互方式，例如蓝牙技术、WiFi 技术（无线高保真）、IrDA 技术、NFC、ZigBee、UWB（超宽带技术）。

三、移动金融客户端应用面临的风险

随着移动客户端应用开发技术的快速发展，移动金融客户端应用程序与我们的日常生活变得密切相关，随之而来的安全风险也变得越发突出，例如仿冒、恶意代码注入、界面劫持、隐私泄漏、业务攻击等情况层出不穷，因此移动客户端应用的安全问题需高度重视。

1.仿冒风险。

仿冒问题由来已久，因仿冒的暴利、低成本、迷惑性和隐蔽性强特点，使得仿冒行为日渐猖獗，不断向各行业扩散，成为应用安全风险的重灾区。例如二次打包，通过逆向工程，反编译应用程序，在金融客户端程序中添加病毒代码、植入木马等方式，恶意窃取用户的账号信息、支付密码，拦截验证短信、修改金额等。2017 年，据统计移动应用软件仿冒规模从2.3 万多个增长到2.8万多个，同比增长21.74%，其中金融行业包括银行、金融科技公司、第三方支付平台等均发现存在仿冒应用，其中仅互联网金融仿冒应用就有1300 余个，支付宝、京东金融等主流应用也在其中，下载量达3000多万次，对广大用户的资金安全、银行卡信息和个人隐私造成严重的安全威胁。

2.用户金融信息安全风险。

用户金融信息安全风险指个人身份、财产、账户、信贷等个人金融信息泄露而引发的风险，特别是有些支付敏感信息直接关系着用户的资金安全，而金融、支付类App 一直是数据泄露的多发区，例如软键盘SDK 虽在界面上对用户输入进行了处理，但输入信息在内存中却明文存储，以及客户端本地存储没有对敏感信息进行加密处理，不法分子通过界面和键盘劫持攻击等方式可能导致用户信息泄露。

3.交易数据安全风险。

交易数据安全风险是指用户在业务交易过程中可能发生的安全风险。例如通过动态篡改攻击（hook），劫持用户网络传输参数，在收款账号、收款人姓名以及金额被加密前动态修改被提交到服务器的请求，这样服务器端收到的就是转账给另外一个人的请求。

4.应用安全漏洞风险。

无论是安卓（Android）系统还是苹果（IOS）系统，都存在有漏洞，包括移动金融客户端以及引入的第三方SDK，在开发设计中存在的代码以及业务逻辑缺陷，都可能被攻击者所利用。例如在设计中将转账操作验证动态密码时，不但通过短信发送了一份动态密码到手机，还将动态密码发送了一份到客户端，并在手机端本地进行动态密码比对，这无疑产生了很大的安全隐患。