2011年02月21日 07:41
來(lái)源：理財(cái)周報(bào)

字號(hào):T|T

0人參與 打印 轉(zhuǎn)發(fā)

為什么是中行:動(dòng)態(tài)E令容易被攻破利用， 密碼單一防火墻脆弱，網(wǎng)上銀行無(wú)須密碼即可開通手機(jī)銀行。

理財(cái)周報(bào)記者 冀欣/文

近一個(gè)月內(nèi)眾多中行網(wǎng)銀客戶先后經(jīng)歷“驚魂300秒”，賬戶內(nèi)資金瞬間被釣魚網(wǎng)站洗劫一空。中國(guó)互聯(lián)網(wǎng)信息舉報(bào)中心監(jiān)測(cè)數(shù)據(jù)顯示，近期網(wǎng)銀盜竊侵財(cái)型案件舉報(bào)甚多，特別是假冒中國(guó)銀行網(wǎng)站大幅增加，數(shù)量已多達(dá)近70個(gè)。針對(duì)中行網(wǎng)銀的高智能詐騙案呈高發(fā)態(tài)勢(shì)，并以驚人速度向全國(guó)蔓延。

一時(shí)間，人人自危。中行陷入輿論風(fēng)暴眼，不得不面對(duì)安全性的質(zhì)疑和考驗(yàn)。

假冒中行網(wǎng)銀詐騙案件井噴

2011年1月13日，南京的王言(化名)先生突然收到一條手機(jī)短信：“尊敬的網(wǎng)銀用戶，你的中行E令將于次日過(guò)期，請(qǐng)盡快進(jìn)行升級(jí)，給您帶來(lái)不便請(qǐng)諒解，詳詢95566(中國(guó)銀行)?！?/p>

而王先生正是中國(guó)銀行的網(wǎng)銀用戶，王先生向記者道:”銀行的客戶經(jīng)理平時(shí)也常發(fā)短信提示用戶辦理各項(xiàng)業(yè)務(wù)”，所以王先生雖然發(fā)現(xiàn)是來(lái)自一個(gè)陌生手機(jī)，但也并沒(méi)有產(chǎn)生懷疑，隨即利用電腦，根據(jù)短信提示的內(nèi)容登錄短信內(nèi)的“中國(guó)銀行”的網(wǎng)址，并未發(fā)現(xiàn)異常，便根據(jù)網(wǎng)頁(yè)提示，輸入自己的用戶名、密碼以及隨機(jī)產(chǎn)生的中行E令(動(dòng)態(tài)口令)等信息，在頁(yè)面顯示升級(jí)成功。王先生在退出頁(yè)面后猛然發(fā)覺(jué)不對(duì)，再次登錄時(shí)，發(fā)現(xiàn)自己賬戶內(nèi)的100萬(wàn)元已經(jīng)被全部轉(zhuǎn)走。

無(wú)獨(dú)有偶，來(lái)自深圳的黃先生也遭遇了同樣的經(jīng)歷。其賬戶內(nèi)存款被分四次轉(zhuǎn)出，只剩下零頭。而紹興的一位商人則被同樣的手段騙取資金接近200萬(wàn)元。

上述幾位受害者告訴理財(cái)周報(bào)記者，近期江蘇浙江地區(qū)此類案件高發(fā)近乎猖獗。全國(guó)范圍來(lái)看，涉案金額應(yīng)已接近1個(gè)億，保守估計(jì)最少也超過(guò)4000萬(wàn)元。超過(guò)百萬(wàn)元的大案并不鮮見。

究竟在這短短的一個(gè)多月里，有多少客戶的資產(chǎn)遭到假冒中國(guó)銀行釣魚網(wǎng)站的侵蝕，暫難獲得準(zhǔn)確數(shù)據(jù)。但是事態(tài)的嚴(yán)重性已從公開信息中得到證實(shí)，據(jù)不完全統(tǒng)計(jì)，僅1月10日-20日之間，江蘇省此類案件就發(fā)生上百起，浙江省也有近50起，涉案總金額巨大。據(jù)金山網(wǎng)絡(luò)云安全中心統(tǒng)計(jì)數(shù)據(jù)顯示，近期已有超過(guò)5萬(wàn)名用戶訪問(wèn)過(guò)中國(guó)銀行的仿冒網(wǎng)站。

據(jù)了解，上述案件中犯罪分子的作案手法如出一轍。受害人均收到陌生手機(jī)號(hào)碼發(fā)送的短信，提示其銀行網(wǎng)銀動(dòng)態(tài)口令將于次日過(guò)期，讓其盡快登入中國(guó)銀行網(wǎng)站進(jìn)行升級(jí)。一旦事主登錄短信內(nèi)留下的網(wǎng)站，所輸入的網(wǎng)銀用戶名、密碼、動(dòng)態(tài)口令等就會(huì)被“釣魚”程序竊取，其網(wǎng)銀賬戶內(nèi)款項(xiàng)在幾分鐘內(nèi)被迅速轉(zhuǎn)走。

E令設(shè)計(jì)被疑潛藏安全漏洞

有關(guān)釣魚網(wǎng)站的詐騙相信都早有耳聞，不少銀行也都會(huì)面對(duì)此類的困擾，但是為什么如此集中于中國(guó)銀行，很多人都在疑問(wèn)。

中國(guó)互聯(lián)網(wǎng)信息舉報(bào)中心主任助理郝志超曾在接受采訪時(shí)有所言明：“中行的網(wǎng)銀系統(tǒng)還是有問(wèn)題的，它的動(dòng)態(tài)E令被犯罪分子利用了。中國(guó)互聯(lián)網(wǎng)信息舉報(bào)中心已經(jīng)敦請(qǐng)中國(guó)銀行進(jìn)一步完善網(wǎng)銀業(yè)務(wù)流程，不給犯罪分子可乘之機(jī)。”

E令到底存在怎樣的問(wèn)題？

中國(guó)金融認(rèn)證中心相關(guān)負(fù)責(zé)人告訴記者，目前用戶端網(wǎng)銀安全工具主要包括：數(shù)字證書、動(dòng)態(tài)口令、手機(jī)驗(yàn)證三種。得到廣泛使用并且安全保障程度較高的是數(shù)字證書，通常被存儲(chǔ)在USBKey(俗稱的“U盾”)之中。用戶在登錄銀行網(wǎng)站進(jìn)行交易時(shí)，在電腦上插入U(xiǎn)key，就相當(dāng)于向銀行亮出“網(wǎng)絡(luò)身份證”。

UKey硬件本身有一個(gè)PIN碼，相當(dāng)于我們銀行卡的密碼，當(dāng)用戶在電腦中插入U(xiǎn)Key時(shí)，只有在輸入PIN碼以后才能使用。同時(shí)，UKey證書中不僅包含用戶的身份信息，還包含另外一段由用戶獨(dú)有的特殊數(shù)據(jù)信息，在學(xué)術(shù)上叫做“私鑰“，只由用戶自己所特有，而且每個(gè)用戶持有的都不相同。用戶每次在網(wǎng)銀中交易時(shí)，交易的關(guān)鍵信息都會(huì)送入U(xiǎn)SBKey，在USBKey中進(jìn)行電子簽名。簡(jiǎn)單來(lái)說(shuō)，只要USBKey在用戶手中，黑客就很難攔截這個(gè)密碼，即使得逞也難以完成轉(zhuǎn)賬。招商銀行、工商銀行等目前采取的就是以USBKey為主的安全工具。

而中國(guó)銀行選擇的是用動(dòng)態(tài)口令保護(hù)用戶網(wǎng)銀安全。動(dòng)態(tài)口令就是只能使用一次的密碼，這種動(dòng)態(tài)密碼的原理在于：它通過(guò)特定的計(jì)算方式在用戶處產(chǎn)生一個(gè)隨機(jī)變化的密碼，同時(shí)銀行處也能產(chǎn)生一個(gè)相同的密碼，用戶使用這個(gè)密碼登錄網(wǎng)銀時(shí)，兩個(gè)密碼相比較，若匹配則表示已通過(guò)驗(yàn)證，用戶可進(jìn)行下一步的操作。

中行“E令”，實(shí)際上就是“電子動(dòng)態(tài)口令生成器”，是由中國(guó)銀行推出的一種硬件動(dòng)態(tài)口令牌。它由內(nèi)置電源、密碼生成芯片和顯示屏等組成，根據(jù)專門的計(jì)算法則，每隔60秒會(huì)自動(dòng)更新一個(gè)動(dòng)態(tài)口令，要求用戶在60秒內(nèi)輸入，以保障網(wǎng)銀操作安全。然而此輪網(wǎng)銀詐騙，絕大部分案例都以“中行E令”為幌子，眾多用戶質(zhì)疑號(hào)稱動(dòng)態(tài)安保的“中行E令”此時(shí)已形同虛設(shè)。