互联网金融的网络安全与信息安全要素分析

２０１５年７月　第３２卷第４期　上海大学学报（社会科学版）　

Ｊｏｕｒｎ￣ｏｆ　Ｓｈａｎｇｈ￣Ｕｎｉｖｅ￣ｉｔｙ（Ｓｏｃｉ￣Ｓｃｉｅｎｃｅｓ）　Ｊｕｌｙ　２０１５　

Ｖ０１．３２　Ｎｏ．４　

ｄｏｉ：１０．３９６９／ｊ．ｉｓｓｎ　１００７－６５２２．２０１５．０４．００３　

互联网金融的网络安全与　信息安全要素分析　

谢　尔　曼　，　黄　旭　，　周　杨　（１．中国工商银行城市金融研究所，北京１０００３２；　２．北京理Ｘ－大学微波毫米波电路与系统实验室，北京１０００８１）　

摘要：基于对互联网金融的概念剖析，提出互联网金融行业不可忽视由“互联网”这一要　素所引入的网络安全和信息安全风险。进而从互联网体系本身、用户隐私、网络平台可用性、　企业内部风险四个方面，结合与互联网金融业务密切相关的互联网风险事件案例，全面梳理　互联网金融行业所面临的四大信息安全威胁。在此基础上，从企业战略、合作策略、法律与自　律、权衡易用性与安全性、加强用户信息安全教育等五个方面，提出我国互联网金融发展的网　络安全要素。　关键词：互联网金融；信息安全；网络安全；互联网　中图分类号：Ｆ８３０．４９　文献标志码：Ａ　文章编号：１００７－６５２２（２０１５）０４－００２７—１０　

金融产品和服务的属性，特别适合通过　互联网进行宣传、推广、销售和服务——这也　是近年来金融互联网与互联网金融行业能够　获得快速发展的基础之一。无论是互联网金　融，还是金融互联网，都是利用互联网技术在　信息的收集、存储、处理方面的优势，提高金　融信息的处理效率，提升风险控制能力和定　价水平，同时为客户提供更便捷、更实惠的服　务。央行２０１４年４月２９日发布的《中国金　融稳定报告（２０１４）》，已将互联网金融定义　为我国金融体系不可分割的一部分。　不同于传统的互联网企业提供的服务，　在互联网金融时代，客户终端／数据服务器中　存储的、互联网上传输的信息，对应着客户手　中实实在在的资金或资产，传统的信息安全　也因为金融业务这根红线，升级成为金融安　全密不可分的一部分。金融的核心在于风险　控制，而互联网金融的风险控制，绝不能忽视　由互联网所引人的网络风险和信息安全风　险。因此，无论从金融业务风险控制的角度，　还是从保护消费者的角度，抑或从保护、促进　产业发展的角度，互联网金融企业和金融互　

收稿日期：２０１４－０５—１０　作者简介：谢尔曼（１９８１一　），男，陕西岐山人。中国工商银行城市金融研究所博士后，中国人民大学财　政金融学院博士后流动站研究人员。研究方向为互联网金融。　

一２７—　上海大学学报（社会科学版）　联网机构都应该将信息安全作为自身发展的　核心竞争力加以确保和维护。　互联网金融是一个新生事物，因此，对于　互联网金融所面临的信息安全威胁的相关研　究也刚刚开始。有的研究从传统金融的视　角，对信息安全风险进行了分析，但对互联网　信息安全的具体威胁尚缺乏系统性的梳　理；　儿　儿　有的研究列举了金融信息安全　的具体细节，但并未涉及非金融企业开展金　融业务时所面临的信息安全威胁；¨６儿　有的　专门研究的确针对互联网金融领域展开，却　又忽视了传统金融行业的信息安全。　］［９１１１０１　本文试图从互联网金融行业的全局出发，对　互联网所引入的信息安全风险进行全面梳　理，并基于具体的网络安全案例和统计数据，　总结出我国互联网金融的四大威胁；进而立　足于互联网金融行业的主要参与者——互联　网企业和传统金融机构，针对互联网金融业　务，提出互联网金融发展的网络安全要素。　一、互联网金融与金融互联网　２Ｏ世纪９Ｏ年代中期以来，我国金融与　互联网的融合进程开始启动并不断创新，先　后经历了两个快速发展阶段。　第一个阶段是２Ｏ世纪９０年代中期至２１　世纪初，以网络银行、网络证券和网络保险的　出现为标志，我国互联网金融经历了第一轮　快速发展。这个阶段的标志性产物包括大额　实时处理系统、小额批量处理系统、电子票据　交换系统、商业银行综合业务处理系统、银联　的银行卡支付结算系统的国家现代化支付系　统以及商业银行的数据大集中、ＰＣ端的网络　银行、网络股票经纪、保险公司网站销售　等——这就是我们常说的早期的金融互　联网。　第二个阶段是２００５年以来，以社交网　络、移动支付、云计算、搜索引擎等为代表的　互联网现代科技的快速发展为起点，在经历　了十多年的积淀与酝酿后，互联网与银行的　合作开始了以核心业务渗透融合为代表的发　展新阶段。这个阶段的发展可以归纳为“互　联网企业的金融化”（即互联网金融）与“商　业银行的深度互联网化”。　回顾这两个发展阶段，不难得到两个结　论：首先，第一个阶段的金融互联网的发展，　为第二阶段互联网金融的发展奠定了基础：　商业银行的全面信息化是第三方支付企业接　人的技术基础；＿ｌ　证券交易的全面电子化是　第三方金融比价搜索、金融超市的技术基础；　保险营销后台的信息化是网络保险销售的基　础。其次，第二个阶段中互联网企业的流程、　模式、产品创新，为传统金融机构的创新与改　革提供了新的思路：纯中介方式的Ｐ２Ｐ可以　在一定程度上解决小微企业借贷的风险定价　难题；电商平台、第三方支付平台的基金营销　为资产管理业务的发展提供了新渠道；电商　平台基于大数据的精准营销、信用评价方法　为传统金融企业带来了新方法。　可见，传统的金融互联网与新兴的互联　网金融这两大阵营，将在互联网平台建设、网　络支付、标准化产品营销、网络借贷等领域形　成多个竞争热点，　未来，互联网平台的竞　争将更加激烈，跨界收编、跨界合作等竞争手　段将不断出现，＿ｌ　两大阵营竞争的升级，必　将促进金融与互联网的大融合。任何事物都　具有两面性，互联网也不例外，在平等、高效、　透明等优势的另一面，是层出不穷的信息安　全问题，随着产业的不断发展，互联网所引入　的信息安全问题必将日渐成为一种潜在的风　险，对互联网金融安全造成威胁。　

一２８一　二、互联网金融所面临的信息安全威胁　互联网金融所面临的信息安全威胁，是　第４期　谢尔曼，黄旭，周杨：互联网金融的网络安全与信息安全要素分析　由互联网自身开放、高连接度的特性所决定　的。在金融与互联网的结合过程之中，恶意　程序、钓鱼网站、用户信息泄露、拒绝服务攻　击、内部泄密等威胁是互联网金融平台赢得　用户信任的巨大障碍。总体上看，互联网金　融所面临的信息安全威胁可以概括为以下　四点。　（一）来自互联网体系本身的威胁　互联网体系的复杂性为恶意行为提供了　滋生的温床，对于互联网金融的信息安全风　险控制而言，面临的挑战包括恶意程序、钓鱼　网站、恶意手机ＡＰＰ等。　首先是恶意程序。恶意程序通过邮件、　ＱＱ聊天诱导、网盘分享等方式进行传播，隐　匿在内存中，可以实现用户键盘记录（常用　于用户名／密码盗用）、网页篡改、屏幕截　录像、远程控制等功能。２０１２年底，出现了　一款木马程序“支付大盗”，该程序能检测浏　览器的地址栏信息，一旦用户在支付宝等购　物网站为商品付款，该程序就会将付款对象　篡改为黑客的账户，将用户本来准备支付给　卖家的货款转给黑客账户。　其次是钓鱼网站。钓鱼网站通过精心设　计，对知名度很高的网站（以网购、网银、品　牌官网等为主）加以仿冒，或者无中生有地　建立虚假的登录页面、中奖页面，诱导用户输　人用户名、密码、姓名、身份证等信息，进而通　过盗取的信息进一步开展违法活动（例如窃　取私密信息、交易记录甚至盗取资金等）。　据国家互联网应急中　ｔｌ，监测，＿ｌ　ｊ２０１４年针　对我国境内网站的钓鱼站点（ＩＰ地址）有　８９．４％位于境外，共有６　ｌ１６个境外ＩＰ地址　承载了９３　１３６个针对我国境内网站的仿冒　页面，其中ＩＰ地址较２０１３年增长６０．０％，所　承载仿冒页面数量较２０１３年增长２．１倍。　从地域分布的角度看，钓鱼网站的主机主要　分布在境外地区，这为有关部门通过法律手　段监管和打击钓鱼欺诈行为制造了很大的困　难。中国反钓鱼网站联盟逐月发布的《钓鱼　网站处理简报》显示，２０１４年第４季度及　２０１５年前两个月，金融证券类、支付交易类　的钓鱼网站投诉占比超过９０％。　最后是针对手机的恶意ＡＰＰ。随着移动　互联网的迅猛发展，智能手机的普及率迅速　提高，针对智能手机的恶意ＡＰＰ也随之发展　起来。相对于ｉＯＳ与Ｗｉｎ　Ｐｈｏｎｅ平台，由于　其自身的开放性及广泛的市场占有率，　Ａｎｄｒｏｉｄ系统成为恶意软件的重灾区。３６０互　联网安全中心发布的（＜２０１４年中国手机安全　状况报告》显示，２０１４全年，３６０互联网安全　中心累计截获Ａｎｄｒｏｉｄ平台新增恶意程序样　本３２６．０万个，较２０１２年、２０１３年分别增长　了２５．３倍与３．８６倍；累计监测到Ａｎｄｒｏｉｄ用　户感染恶意程序３．１９亿人次，较２０１２年、　２０１３年分别增长了５．１７倍和２．２７倍。另　外，为数众多的应用下载中心并不能很好地　完成ＡＰＰ的验证工作，使得二次打包的　ＡＰＰ、钓鱼ＡＰＰ、窥探隐私ＡＰＰ等恶意应用大　行其道。黑客通过对移动支付类ＡＰＰ进行　二次打包，伪装成知名应用混淆用户诱骗下　载，通过记录输入法窃取用户的电商以及第　三方支付平台的账号和密码，同时，还会将支　付验证码转发到指定手机。　随着移动支付类软件的火爆，电商、支付　客户端等软件成为黑客制作手机病毒的新　宠。据最新的报道显示，目前有近３０多类专　门危害移动支付软件的木马和病毒。　例如２０１３年出现的“ａ．ｐｒｉｖａｃｙ．ＦａｋｅＡｌｉ—　ｐａｙ．ａ”（假面支付）病毒伪装成发放红包的　支付宝类型应用，通过发放红包诱导用户输　入姓名、身份证号、支付宝账号、淘宝账号等　信息，然后发送这些用户信息到指定的手机　

一２９—