隨著互聯網金融的發展，電子支付已經占據了移動支付的大半江山，但往往道高一尺魔高一丈，近期發生了多起手機銀行遭盜竊信息騙取錢財的事件。專家認為，目前，不法分子制作假冒網銀升級助手、盜版手機網銀客戶端、釣魚支付寶等惡意軟件，嚴重威脅移動支付安全。
而根據360互聯網安全中心日前發布的《2014年第二期中國移動支付安全報告》顯示，國內手機銀行客戶端中，黑客有七種招數利用木馬偷取用戶敏感信息。
招數一：
假冒銀行服務端攻擊
如果客戶端在登錄過程中不對服務端的身份進行校驗，就有可能連接到假冒的銀行服務端上，從而導致用戶名、密碼等信息被竊取。
在本次測評的16款銀行客戶端中，共有3款銀行客戶端存在忽略服務端證書校驗安全漏洞。
招數二：
后臺記錄鍵盤信息
需鍵盤輸入的都是關鍵、敏感的信息，如登錄密碼、支付密碼、賬戶信息、資金信息等。如手機鍵盤的輸入過程被木馬病毒或黑客監聽，將造成用戶信息的泄漏。
招數三：
網銀賬戶信息裸奔
如果賬戶信息頁面被設置成為可直接導出，那么不需經過登錄過程，就可查看用戶的網銀賬戶信息，相當于賬戶信息在裸奔。沒有任何一款銀行客戶端軟件具有反Activity劫持的能力。
招數四：
仿登錄界面釣賬號密碼
惡意程序會啟動仿冒銀行的登錄界面，用戶在仿冒界面里輸入資料致賬號和密碼被盜。16款手機銀行客戶端軟件中，沒有一款客戶端能單獨解決這類問題。
招數五：
利用安卓系統漏洞滲透
由于安卓系統存在一些問題，用戶手機中諸多的系統漏洞得不到及時修復。專家認為，木馬可輕松突破“自繪鍵盤”的防護，直接獲取用戶的賬號密碼。
招數六：
二次打包制造盜版
攻擊者用逆向分析工具，將銀行客戶端程序進行反編譯，并向反編譯結果中加入惡意代碼，發布到審核不嚴格的第三方市場中。
招數七：
短信劫持獲取驗證碼
本次測評的16款手機銀行客戶端軟件均采用“賬號密碼+短信驗證碼”的偽雙因素認證體系，在面對木馬攻擊時非常脆弱。雖已有銀行推廣雙因素認證系統，但大多數用戶仍在用上述認證方式。
京公網安備 11010502049343號