媒體:先補銀行運營商漏洞 再談使用者安全意識
最近上海警方破獲一起大案,從犯罪分子手中截獲了3.2億條已被破解的使用者資訊。如果按照我國平均每人擁有一個手機號碼來算,3.2億條資訊意味著每四個人當中就有一個人的資訊已經洩露。後果是什麼呢?以其中幾位受害者的遭遇為例,就是信用卡被盜刷,“被申請”銀行貸款,幾十萬元的銀行賬戶餘額一夜清零,還背了債。
值得注意的是,這幾位受害者平時特別注意用卡安全,卡不離身,密碼未洩露,轉賬用U盾,上網用專業版網銀。這幾年,使用者金融賬戶被盜的案件時有發生,媒體和相關人士反覆提醒使用者提高警惕,然而事實證明,使用者再警惕,有時也敵不過賊的本事。
拿上述案子來說,犯罪分子先用軟體“撞庫”盜取使用者網路身份,然後利用運營商的簡訊過濾、保管功能或換卡業務的漏洞來獲取驗證碼,利用銀行發放貸款程式的漏洞申請貸款……總之,“撞庫”之後的整個犯罪過程都是藉著運營商和銀行業務的漏洞來實現的。假如這些漏洞不補,使用者的安全意識再強又有什麼用?
移動支付、網上金融等業態,在運營商和銀行業務的支援下,因其“便捷”而迅猛發展,但使用者的“信任”將決定新業態能否跨越瓶頸,邁向下一個階段——這個瓶頸,與“安全”有關。現在,賬戶被盜案件背後的安全問題,不只是使用者的資訊保安問題,也包括運營商和銀行在創新開發業務時造成的各種疏漏與失誤。在一次次的案情分析中,我們能看到原因,但還沒有對症下藥去修正運營商和銀行的行為。
運營商推出簡訊過濾、保管功能等增值服務,線上換卡預設登入人是持卡人本人,銀行在發放貸款時簡化程式,以及前段時間引起熱議的預設免密支付等等,確實都讓服務更多樣、更便捷,但這些多樣和便捷往往是用安全的代價來換取的。這令人聯想起滴滴順風車在下線整改之前飽受爭議的某些功能設計——把出行與社交相結合的創意並不是沒有價值,但如果以目前的管理手段無法確保安全,就還是暫時擱置的好。
銀行和運營商開發增值服務、簡化服務流程也是一樣,如果風險控制跟不上,這服務該不該開、程式該不該簡化就應該打個問號。當前在很多情況下,承擔其風險代價的往往不是運營商或銀行,而是使用者——賬戶被盜了,需要使用者自己奔走索賠、取證,忙得焦頭爛額,銀行和運營商當然缺乏自身整改的積極性。如果從法規到慣常處理辦法都對使用者更友好,發生類似問題由銀行或運營商負全責,最好還附加賠償,銀行和運營商在改進服務的工作上是否就會更慎重一些呢?至少,如果使用者相信自己的損失肯定能找回,面對移動支付、網上金融等業態也能更有安全感。
如果不能用強制性規則和處理辦法去引導運營商和銀行的做法,再怎麼呼籲使用者提高安全意識都是空話,就像放著滿地明的暗的大坑不填,只管叫行人腳下小心,出事了,路政部門還是得負責。誠然,建議使用者提高警惕是有意義的,但這不等於可以把賬戶安全問題的責任轉嫁給使用者,只是為了把單個使用者可能發生的損失降低一些。關鍵漏洞在銀行和運營商那兒,還是先補上了,再來談其他吧。