互聯(lián)網(wǎng)金融平臺本身屬于一種創(chuàng)新性的金融業(yè)態(tài)或產(chǎn)品，原有的金融風(fēng)險一樣沒有少，還增加了更多的技術(shù)風(fēng)險。在快速發(fā)展過程中，金融風(fēng)險與金融安全問題越來越突出。
互聯(lián)網(wǎng)金融安全不僅是技術(shù)問題，更是管理問題?；ヂ?lián)網(wǎng)金融平臺要從事前、事中和事后三個方面進行完善，監(jiān)管者也應(yīng)該建立相應(yīng)的評價機制。
2016年5月18日，全球最大黑客組織匿名者(Anonymous)突襲希臘央行之后，宣稱長達30天的DDoS攻擊開始。隨著塞浦路斯央行、荷蘭央行、馬爾代夫央行等眾多官網(wǎng)站點被DDoS攻擊癱瘓，其他各國金融機構(gòu)紛紛拉響抗DDoS警報。根據(jù)該黑客組織公布的攻擊名單，中國人民銀行也赫然在列。
然而，正深受DDoS攻擊之?dāng)_的金融機構(gòu)并非僅限于此，互聯(lián)網(wǎng)金融行業(yè)或許正在成為最大的受害者——螞蟻金融、網(wǎng)貸之家等多家P2P平臺或第三方信息服務(wù)平臺接連遭到黑客攻擊。
今年上半年，全國金融行業(yè)(含互聯(lián)網(wǎng)金融)安全漏洞總量同比增長181.9%。相關(guān)人士表示，目前互聯(lián)網(wǎng)金融行業(yè)存在很大的安全隱患，客戶信息泄露、支付漏洞、惡意攻擊等為云平臺的普及帶來了新的威脅。
“中國P2P網(wǎng)貸成為網(wǎng)絡(luò)安全的重災(zāi)區(qū)。”中央財經(jīng)大學(xué)金融學(xué)院教授郭田勇在接受《法制日報》記者采訪時說。
P2P創(chuàng)業(yè)者遭勒索
見面地點，秦浩云選擇了一家社區(qū)醫(yī)院的中醫(yī)病房。頭、肩膀插滿針灸，嘴里談?wù)撝ヂ?lián)網(wǎng)創(chuàng)業(yè)、黑客攻擊。這樣的采訪經(jīng)歷，對于記者來說，也算是新鮮。
對于如此選擇，秦浩云也滿是無奈。作為互聯(lián)網(wǎng)金融行業(yè)的年輕創(chuàng)業(yè)者，秦浩云正經(jīng)歷創(chuàng)業(yè)以來最大的困境——連續(xù)兩次被黑客攻擊，“說是攻擊，還不如說是勒索”。
幾天前，秦浩云的平臺遭受第一次攻擊，隨后客服收到黑客的敲詐，數(shù)目不多，1000元。
在秦浩云提供的聊天截圖中，記者看到，黑客開門見山，“我們封了你們的網(wǎng)站”“通知老板聯(lián)系我”，并附上了聯(lián)系QQ。
第一次被攻擊，摸不清狀況的秦浩云“滿足”了黑客敲詐勒索的條件。緊接著第二天，他又收到黑客的敲詐條件：
“受同行業(yè)雇傭封你們的網(wǎng)站”——經(jīng)過一晚上的了解，心里有譜的秦浩云知道，這是絕大多數(shù)黑客的慣用說法，真假不得而知;
“受保護網(wǎng)站安全運行費，每月1000元”——黑客團隊表示只要交錢，將不再攻擊，即使遭遇其他黑客攻擊，也有他們“擺平”。
交還是不交?交，會不會成為無底洞;不交，網(wǎng)站崩潰怎么辦，更重要的是客戶資金安全。
在緊急磋商之后，秦浩云的團隊高價請人加固了網(wǎng)站防護措施，暫時化解這場危機。
在秦浩云看來，這些經(jīng)歷說起來輕描淡寫，但幾天下來，他已經(jīng)瀕臨崩潰。“有的平臺被敲詐走了七八萬元，而且黑客侵襲的不單單是那些實力弱小的P2P平臺，連某些防護能力一流的平臺也被攻擊過。扎完針灸，我要馬上和團隊討論防護升級，不能再有下次了”。
作為互聯(lián)網(wǎng)金融平臺的年輕創(chuàng)業(yè)者，經(jīng)歷過此輪“歷練”，秦浩云認識到，互聯(lián)網(wǎng)金融平臺最大的成本不是平臺的運營成本，也不是獲取客戶的支出成本，更不是企業(yè)監(jiān)管上的投入成本，而是作為互聯(lián)網(wǎng)金融這個特殊行業(yè)的平臺信譽成本。
曾有業(yè)內(nèi)專家這樣評析，互聯(lián)網(wǎng)金融網(wǎng)站作為信譽展示的首要平臺，如果因為網(wǎng)站信息泄露、宕機、頁面篡改等原因?qū)е掠脩粜湃螁适В敲雌脚_也就丟失了本身的信譽，成為無源之水。再精妙的運營規(guī)劃、再強大的運營投入也于事無補。因此，作為互聯(lián)網(wǎng)金融企業(yè)，決不能讓安全技術(shù)成為業(yè)務(wù)發(fā)展的絆腳石。
“互聯(lián)網(wǎng)金融平臺本身屬于一種創(chuàng)新性的金融業(yè)態(tài)或產(chǎn)品，將金融與科技進行了結(jié)合。但如果從安全的角度看，互聯(lián)網(wǎng)金融的風(fēng)險肯定更加復(fù)雜和多樣，至少原有的金融風(fēng)險一樣沒有少，還增加了更多的技術(shù)風(fēng)險可能。互聯(lián)網(wǎng)金融起步于民營企業(yè)，來源于金融創(chuàng)新，在快速發(fā)展過程中，金融風(fēng)險與金融安全問題越來越突出。”中國社科院金融所法與金融室副主任尹振濤對《法制日報》記者說。
黑客攻擊成最大隱患
互聯(lián)網(wǎng)企業(yè)那么多，黑客為啥這么喜歡P2P?對此，曾有人作出這樣的比喻：如果你看著一個三歲娃娃抱著一箱錢走在街上，你不想搶啊?
“互聯(lián)網(wǎng)黑客等惡意攻擊問題一直伴隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，這與互聯(lián)網(wǎng)技術(shù)本身有關(guān)，并不是互聯(lián)網(wǎng)金融或者說是中國特有的。在國際上，有很多有關(guān)黑客惡意攻擊國際知名機構(gòu)的案例。”尹振濤向記者介紹說，從國內(nèi)情況看，目前存在兩種傾向，一種是尋找漏洞攻擊國內(nèi)知名的大平臺，用勒索手段獲得非法的利益。大機構(gòu)一般會穩(wěn)定投資者情緒，避免事件擴散及聲譽受損等，平息事件。另一種是黑客直接攻擊安全防范不健全的小平臺，直接攻擊其支付渠道等，盜取資金。
黑客攻擊第三方支付平臺的手段多是流量攻擊，主要意圖是導(dǎo)致用戶無法正常訪問。而流量攻擊無法從根本解決，只能通過流量清洗、加大帶寬來應(yīng)對。
然而，流量清洗及防護的價格并不便宜。曾有P2P平臺受攻擊后，3個小時的DDoS防護就花了16萬元。據(jù)了解，以某公司的云盾DDoS防護為例，保底包月費用接近4萬元，按天的彈性付費根據(jù)攻擊流量的不同，價格從不到兩千元至兩萬余元不等，具體的收費總額還要看防護情況而定。
正是基于被攻擊公司不舍得花錢的心態(tài)，黑客常常開出數(shù)萬元至數(shù)百萬元不等的勒索金額。
據(jù)調(diào)查統(tǒng)計，黑客攻擊互聯(lián)網(wǎng)金融平臺的目的主要為竊取數(shù)據(jù)，占比高達48%，其次為敲詐勒索和商業(yè)競爭。
秦浩云向記者介紹說，大批互聯(lián)網(wǎng)金融平臺被黑客攻陷，黑客攻擊除能引起系統(tǒng)癱瘓外，還將數(shù)據(jù)惡意修改、洗劫一空;黑客通過申請賬號、篡改數(shù)據(jù)、冒充投資人進行惡意提現(xiàn)甚至資金被盜事件也曾發(fā)生。
根據(jù)中國權(quán)威第三方漏洞監(jiān)測平臺烏云網(wǎng)從2014年至2015年8月對P2P行業(yè)漏洞數(shù)量統(tǒng)計顯示，高危漏洞占56.2%，中危漏洞占23.4%，低危漏洞占12.3%，其中8.1%被廠商忽略。除了系統(tǒng)安全漏洞，黑客攻擊技術(shù)的升級仍然是網(wǎng)絡(luò)安全最大的隱患。
“黑客尋找漏洞攻擊國內(nèi)知名大平臺，主要與互聯(lián)網(wǎng)技術(shù)本身相關(guān)，即便是大平臺，投入再大的人力物力研發(fā)系統(tǒng)，也同樣會存在不可預(yù)知的漏洞。因為，技術(shù)總歸是人設(shè)計的。這只能通過技術(shù)的不斷迭代去彌補漏洞。”尹振濤向記者分析說，針對安全防范不健全的小平臺，則是因為在互聯(lián)網(wǎng)野蠻生長過程中，埋下了風(fēng)險隱患，“那些對技術(shù)投入小，不重視金融安全風(fēng)險的平臺，受惡意攻擊情況就會很突出。同時，‘蒼蠅不叮無縫的蛋’,這些平臺可能也存在著這樣或那樣的‘不可告人的秘密’,也給不法分子留下了機會”。
有業(yè)內(nèi)人士介紹，有些平臺直接在網(wǎng)上購買較為廉價、安全性缺乏保障的網(wǎng)貸系統(tǒng)，這樣的平臺在安全局勢尤為緊張的互聯(lián)網(wǎng)金融領(lǐng)域，無異于“裸奔”，平臺安全岌岌可危。
對此，尹振濤透露說：“據(jù)我所知，一套這樣的網(wǎng)貸系統(tǒng)市場價在20萬元左右，這些系統(tǒng)存在大量風(fēng)險漏洞。之前，也存在一個公司開發(fā)的網(wǎng)貸平臺系統(tǒng)受到攻擊，多家使用的平臺受影響的風(fēng)險事件。主要原因在于，很多小平臺風(fēng)險意識淡薄，只考慮如何做大規(guī)模、如何賺取利潤。同時，網(wǎng)貸平臺本身也有管理層結(jié)構(gòu)問題。在這些小平臺，懂技術(shù)的不懂金融，懂金融知識的不懂網(wǎng)絡(luò)技術(shù)。”
中央財經(jīng)大學(xué)金融法研究所所長黃震也向記者介紹了這樣的情況：“有一些平臺確實是考慮不周，他們按照產(chǎn)業(yè)價格購買他人的軟件，或者由技術(shù)并不強的公司替他們開發(fā)所謂的軟件或在他人的軟件上修修改改而已。”
安全如何不再是痛點
監(jiān)管，是互聯(lián)網(wǎng)金融發(fā)展繞不開的話題。
黃震向記者介紹說，對于上述提到的購買廉價技術(shù)、安全意識不強的平臺，目前沒有相關(guān)監(jiān)管，“此前有文件對這些P2P平臺提出批評，但具體怎么管，具體的政策還沒有出臺”。
中央財經(jīng)大學(xué)信息學(xué)院院長、金融信息安全研究所所長朱建明認為，安全是一個整體，互聯(lián)網(wǎng)安全措施的級別要與商業(yè)價值相一致?；ヂ?lián)網(wǎng)金融安全不僅是技術(shù)問題，更是管理問題。不僅包括一般的安全問題，更包括業(yè)務(wù)安全問題。當(dāng)前行業(yè)的普遍觀點是，云計算的負載資源能力以及建立在虛擬化平臺上的安全設(shè)備和安全管理網(wǎng)站有很大優(yōu)勢，大數(shù)據(jù)安全應(yīng)該是互聯(lián)網(wǎng)金融公司安全問題的重中之重。
在尹振濤看來，P2P平臺、監(jiān)管者以及投資者應(yīng)各盡其責(zé)：
對平臺來說，互聯(lián)網(wǎng)金融安全風(fēng)險，特別是技術(shù)風(fēng)險問題，這是不可回避的。要從事前、事中和事后三個方面進行完善。事前要重視金融風(fēng)險和安全問題，投入人力、物力進行防范。事中要有監(jiān)控手段和方法及相應(yīng)的機制。事后要有處置預(yù)案、補償機制設(shè)計等，盡量減少損失，降低破壞率;
隨著互聯(lián)網(wǎng)金融治理的不斷深入，自然會淘汰那些技術(shù)落后和不健康的小平臺，這對整個行業(yè)的風(fēng)險水平會有很好的提升。針對互聯(lián)網(wǎng)金融特有的性質(zhì)，監(jiān)管方面也應(yīng)該有檢測的規(guī)章制度，或者互聯(lián)網(wǎng)金融協(xié)會主導(dǎo)或其他第三方評估機制主導(dǎo)的評價機制。當(dāng)然，在實施過程中，也應(yīng)該避免出現(xiàn)“賣認證”的問題;
投資者作出選擇時，應(yīng)該盡量選擇可靠的大平臺，自己增強風(fēng)險防范意識，特別是互聯(lián)網(wǎng)技術(shù)和移動互聯(lián)安全問題。
郭田勇則提出要提高從業(yè)人員的業(yè)務(wù)審查能力。
黃震也提出了類似觀點：“按照現(xiàn)在已有的法律法規(guī)的標(biāo)準，對于提供軟件和網(wǎng)絡(luò)服務(wù)的服務(wù)商嚴格審查，這是現(xiàn)有的服務(wù)要求。”
此外，黃震建議，P2P平臺可以通過各行業(yè)協(xié)會提出安全保障要求，“在未來國家正式的監(jiān)管部門成立后，在監(jiān)管時可以提出要求，這是可以逐漸實施的方法和路徑。大數(shù)據(jù)時代，數(shù)據(jù)涉及到個人信息越來越多，需要加強安全保護，數(shù)據(jù)安全要求規(guī)范立法的呼聲會越來越高，這是可以理解的，這方面的法律幾乎接近空白狀態(tài)，每個人都感覺沒有安全感、有被偷窺的感覺。這方面應(yīng)先從公司的自律開始，逐漸建立行業(yè)的標(biāo)準和規(guī)范”。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開微信，點擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。