互联网金融支付手段安全风险

　　网金融超常规、跨越式的发展,支付手段创新也出现百家争鸣、百花齐放的景像。那么，互联网金融支付手段安全风险有哪些呢?下面小编为大家收集整理了互联网金融支付手段安全风险分析，希望能为大家提供帮助!

　　互联网金融支付手段安全风险

　　也就是所谓的“即拍即付”。打开手机上的支付客户端，其中有一项二维码识别的功能，它可以用来拍摄和识别印制在各种物体上的二维码商品信息，识别后，你直接点击付款，完成交易，商品由快递员送到家里。

　　二维码都可以干什么呢?简单的说目前大概有信息获取、网站跳转、软件下载、广告推送、手机电商、优惠促销、会员管理、手机支付这些应用模式，二维码近场支付和远端支付两个模式都可以使用。由于二维码应用的广泛性，那么单一使用二维码来做交易验证，不懂安全的人扫来源不明的二维码很容易受骗执行恶意程序。扫个二维码丢了18万的案例就是这样被骗子得手的，个人认为二维码的有效分类和可信二次验证研发应该提到日程上来，这样才能提供更安全的二维码验证平台。

　　2、 NFC手机钱包

　　通过在手机中植入NFC芯片或在手机外增加NFC贴片等方式，将手机变成真正的钱包。在付钱时，需要商户提供相应的接收器，这样，大家才能拿着手机去完成“刷一下”这个动作，便捷付款，整个过程很像是在刷公交卡。

　　需要注明一点：NFC是指Near Field Communication，中文名叫“近距离无线通讯技术”，通过NFC可以方便地传输通讯录、图片、音乐等，也可以用于支付。

　　NFC适用于近场支付，NFC的特点是无线交互，但是这样不用确定的模式会在客户不知情的情况下发生交易，以前的黑客大会就有人演示用一个挂件去刷钱，更可怕点可以把刷卡器做在门框上于是过一个人刷一个人还很难追溯，因为软件开启后一般人用过就不会关闭这样会带来很多的潜在风险，所以我认为NFC应该加上一个物理的开关使用的时候按住才会激发而不是软件开启。而中国的闪付和电子钱包的设计则显得异常奇葩，这个创意其实很好，因为小额支付风险不大1000以下可以不确认支付出了风险也有负责的机构承担，但是使用了异步对账则是不可原谅的业务流程设计错误。因为充值的时候已经把钱固化到卡的芯片中相当于转账资金的数据模式，而这种数据是可以被复制的，通过技术手段能够直接dump出卡内的数据和最后十笔交易，于是我们可以写出无数的卡，理论上用这些卡在对账日前可以刷出无数的交易，这种风险是任何一个金融机构都无法承受的。因此必须更改对账模式为实时交易模式，并使用物理的开启按钮。

　　大家都打开支付客户端，拿出手机“摇一摇”，对方的账号就自动跑到你的手机上，接下来就是便捷的输入金额和收款付款了，简直是聚餐凑份子和水果摊小老板结账的利器呀。它背后的技术包括GPS、蓝牙、重力加速感、NFC等等，当然，用户不必记住这些名词。

　　摇一摇本身就是一个近场信号发送，那么只要有人一直发送在摇的信息抢先应答，那么很可能劫持交易会话。个人认为如果加上对方身份的显示可能会相对安全一些，但这种付款的方式极不安全非常容易被手机劫持者远程确认。

　　短信支付由来已久，发送一串字符到指定号码就可完成手机充值等各种支付，而现在有了更多的演绎。比如说，短信支付让网上交水电费这件事变成了一项堪称“惊艳”的功能，第一次使用时，你还是用PC在网上操作的，在第三方支付网站登录账户，交完水电费后选择“缴费提醒”，此后，每个月到了缴费时，支付公司将自动发来短信，回复三个验证码，水电费就交完了，仅仅只需3秒，家里永不停电。后来，这项功能又演变为“超级转账”，你甚至不用知道对方的账户，在支付客户端上发起转账后，对方短信回复银行卡号就能完成收款。

　　短信支付煤气水电费因为是落地在有具体信息可查的交易上，我认为安全性还是有保障的，但是换到别的交易环境就很难说了。2G的短信其实是可以在手机附近进行空口监听的，另外黑客也可以通过飞信或其他的客户端包括短信转移进行劫持。这种单一的认证只适用于特定的业务模式下，切勿盲目推广，超级转帐支付客户端就可能被黑客劫持远程发起短信转账。

　　5、“地理围栏”识别、“看照片”确认支付

　　当你到达A咖啡厅100米的范围内之内，咖啡厅正在使用的支付应用会启动Geofencing(地理围栏)技术，自动感知到你的到来，调出你的账户，名字和照片等资料，当然同时也会向你发出通知。一旦你收到通知，确认购买了一杯咖啡，到达咖啡厅后，你只需要说出名字，收银员看着照片确认那就是你，她就可以按下支付确认键完成支付，你就可以端着咖啡走了。很快你还将收到一个推送通知，告知消费了多少钱并且得到一份电子发票。

　　这种近场的交易模式是相对安全的，除非黑客入侵手机后恶意操作盗刷，但是因为商户的可追查性风险并不是很大，个人认为这种模式比较安全，当然前提是这种支付只绑定了提供这种交易的那几个注册商家。

　　电视广告中已经嵌入了特定的语音命令，而手机上则安装相应的支付应用。当你在看电视时，把支付应用打开，它就能接收和识别广告里嵌入的语音波段，并主动询问用户是否需要购买此商品并完成付款。

　　语音支付实际也是远端数据近端识别客户确认的模式，如果这种支付只绑定了提供这种交易的那几个注册商家一样是比较安全的。

　　7、 图像识别支付

　　这种支付堪称信用卡版的“名片全能王”，它使用手机摄像头来读取信用卡信息，包括信用卡号码和到期日，接下来就可以发起收款

在信息时代，信息已经成为第一战略资源，信息对组织使命的完成、组织目标的实现起着至关重要的作用，因此信息资产的安全是关系到该组织能否完成其使命的重大因素。资产与风险是对矛盾共同体，资产价值越高，面临的风险就越大。而对于目前的组织机构而言，由于组织的业务运营越来越依赖于信息资产，信息安全相关风险在组织整体风险中所占的比例也越来越高。信息安全风险管理的目的就是将风险控制到可接受的程度，保护信息及其相关资产，最终保障组织能够完成其使命，实现其目标。

风险定义为事态的概率及其结果的组合。风险的目标可能有很多不同的方面，如财务目标、健康和人身安全目标、信息安全目标和环境目标等；目标也可能有不同的级别，如战略目标、组织目标、项目目标、产品目标和过程目标等。风险经常通过引用潜在事态和后果或这些的组合来描述。影响，是对一个预期的偏离，正面的或负面的偏离。
风险是客观存在的，与不确定性紧密相连，但又不能完全等同。风险带来的影响，通常都是负面的(正面的影响通常不被称为风险)。风险强调的是损害的潜在可能性，而不是事实上的损害。风险不能消除殆尽，包括人为因素带来的风险，也一样不能消除殆尽。衡量风险的两个基本要素就是事件的概率和影响。
威胁利用脆弱性作用于资产产生影响，威胁增加了组织资产的风险，脆弱点能够暴露资产，脆弱性本身不会构成对资产的损害，但是脆弱性被威胁利用就会增加组织资产的风险。

根据《信息安全技术信息安全风险评估规范》（GB/T ），对评估对象进行安全风险评估分析，风险分析中涉及评估对象的影响范围、威胁、脆弱性三个基本要素。
以下参考互联网新技术新业务安全风险评估可以分为确定影响范围->确定威胁->确定脆弱性->计算分险值->形成评估结论，通过定量和定性相结合的方式进行安全风险评估。

影响范围是指评估对象涉及的传播影响，按评估对象支持的用户数计。
对于运营于互联网上的应用系统，参考下表进行赋值。

威胁是指可能对评估对象造成损害的外部原因。威胁利用评估对象自身的脆弱性，采用一定的途径和方式，对评估对象造成损害或损失，从而形成风险。如：下表为互联网新技术新业务安全评估涉及的威胁及发生可能性赋值。

为了便于对不同威胁发生的可能性概率数据进行类比、度量，依据经验或专家意见进行赋值，常用准则参照如下表。采用相对等级的方式进行度量，等级值为1-5，1为最低，5为最高。

脆弱性是指评估对象存在一个或多个脆弱的管理、技术、业务方面的漏洞，这些漏洞可能会被威胁所利用。脆弱性依据经验或专家意见进行赋值，常用准则参照如下表。采用相对等级的方式进行度量，等级值为1-3，1为最低，3为最高。

风险值=影响范围 * 威胁可能性 * 脆弱严重性

根据风险计算公式得出风险值后可以对应其风险等级，如风险值在55-75分，表示风险极高

评估报告以风险计算得分形式呈现，即：不仅呈现脆弱性问题，并且对于不符合评估标准的项，根据面临威胁赋值和脆弱性赋值，结合评估对象的影响范围计算出风险得分，依据得分给出风险等级（极高、高、中、低、极低）。 任一评估要点匹配对应的企业安全保障能力的脆弱性测算值＞0时，须及时记录并反馈至本级信息安全部门进行报备。任一评估要点的风险值的对应等级为中及其以上程度时，必须纳入整改事项严格贯彻执行，并密切跟踪把握风险变化、持续健全更新与之匹配对应的信息安全管理措施和技术保障手段，根据业务上线后的经营发展情况适时开展安全评估，以确保将信息安全风险控制在中级以下范围内。评估管理部门应组织评估专家审查小组，对“评估结论”进行审核，通过后出具评审结论。

三、为什么要管理安全风险

风险管理的目的是确保不确定性不会使企业的业务目标发生变化。风险管理是风险的识别、评估和优化，然后协调和经济地应用资源，以最小化监测和控制不良事件的可能性及影响，最大限度地实现业务。

风险管理可使信息系统的主管者和运营者在安全措施的成本与资产价值之间寻求平衡，并最终通过对支持其使命的信息系统及数据进行保护而提高其实现使命的能力。

一个单位的领导必须确保本单位具备完成其使命所需的能力。信息安全措施是有成本的，因此对信息安全的成本必须像其他管理决策一样进行全面检查。一套合理的风险管理方法，可以帮助信息系统的主管者和运营者最大程度地提高其信息安全保障能力，以有效实现其使命。

信息安全风险管理包括背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询6个方面的内容。背景建立、风险评估、风险处理和批准监督是信息安全风险管理的4个基本步骤，监控审查和沟通咨询则贯穿于这4个基本步骤中，如下图所示。

背景建立是信息安全风险管理的第一个步骤，是为了明确信息安全风险管理的范围和对象，以及对象的特性和安全要求，对信息安全风险管理项目进行规划和准备，保障后续的风险管理活动顺利进行。背景是建立在业务需求的基础上，通过有效的风险评估和国家、地区、行业相关法律法规及标准的约束下获得背景依据。
背景建立的过程包括风险管理准备、信息系统调查、信息系统分析和信息安全分析4个阶段。在信息安全风险管理过程中，对象确立过程是一次信息安全风险管理主循环的起始，为风险评估提供输人。

风险评估确定信息资产的价值、识别适用的威胁和(存在或可能存在的)脆弱点、识别现有控制措施及其对已识别风险的影响，确定潜在后果,对风险进行最终的优先级排序，并按照风险范畴中设定的风险评价准则进行排名。
风险评估的目的是通过风险评估的结果，来获得信息安全需求，信息安全风险管理要依靠风险评估的结果来确定随后的风险处理和批准监督活动。风险评估使得组织能够准确定位风险管理的策略、实践和工具，能够将安全活动的重点放在重要的问题上，能够选择有合理成本效益的和适用的安全对策。基于风险评估的风险管理方法被实践证明是有效的和实用的，已被广泛应用于各个领域。
风险评估的过程包括风险评估准备、风险要素识别、风险分析和风险结果判定4个阶段。在信息安全风险管理过程中，风险评估活动接受背景建立阶段的输出，形成本阶段的最终输出《风险评估报告》，此文档为风险处理活动提供输人。

风险处理是依据风险评估的结果，选择和实施合适的安全措施。风险处理的目的是为了将风险始终控制在可接受的范围内。风险处理的方式主要有降低、规避、转移和接受4种方式。

• 降低方式:组织首先应该选择降低风险，通常通过对面临风险的资产采取保护措施来降低风险。保护措施可以从构成风险的5个方面(即威胁源、威胁行为、脆弱性、资产和影响)来降低风险。比如，采用法律的手段制裁计算机犯罪(包括窃取机密信息，攻击关键的信息系统基础设施，传播病毒、不健康信息和垃圾邮件等)，发挥法律的威慑作用，从而有效遏制威胁源的动机;采取身份认证措施，从而抵制身份假冒这种威胁行为的能力；及时给系统打补丁(特别是针对安全漏洞的补丁)，关闭无用的网络服务端口，从而减少系统的脆弱性，降低被利用的可能性；采用各种防护措施，建立资产的安全域，从而保证资产不受侵犯，其价值得到保持；采取容灾备份、应急响应和业务连续计划等措施，从而减少安全事件造成的影响程度。
• 规避方式:当风险不能被降低时，通过不使用面临风险的资产来避免风险。比如，在没有足够安全保障的信息系统中，不处理特别敏感的信息，从而防止敏感信息的泄漏。再如，对于只处理内部业务的信息系统，不使用互联网，从而避免外部的有害人侵和不良攻击。
• 转移方式:只有在风险既不能被降低，又不能被规避时，通过将面临风险的资产或其价值转移到更安全的地方来避免或降低风险。比如，在本机构不具备足够的安全保障的技术能力时，将信息系统的技术体系( 即信息载体部分)外包给满足安全保障要求的第三方机构，从而避免技术风险。再如，通过给昂贵的设备上保险，将设备损失的风险转移给保险公司，从而降低资产价值的损失。
• 接受方式:是选择对风险不采取进一步的处理措施，接受风险可能带来的结果。接受风险的前提是确定了风险的等级，评估了风险发生的可能性以及带来的潜在破坏，分析了使用每种处理措施的可行性，并进行了较全面的成本效益分析，认定某些功能、服务、信息或资产不需要进一 步保护。

风险处理的过程包括现存风险判断、处理目标确立、处理措施选择和处理措施实施4个阶段。

批准监督包括批准和持续监督两部分。
批准，是指机构的决策层依据风险评估和风险处理的结果是否满足信息系统的安全要求，做出是否认可风险管理活动的决定。批准应由机构内部或更高层的主管机构的决策层来执行。
持续监督，是指检查机构及其信息系统以及信息安全相关的环境有无变化，监督变化因素是否有可能引入新的安全隐患并影响到信息系统的安全保障级别。监督通常由机构内部管理层和执行层完成，必要时也可以委托支持层的外部专业机构提供支持，这主要取决于信息系统的性质和机构自身的专业能力。
对风险评估和风险处理的结果的批准和持续监督，不能仅依据相关标准进行僵化的对比，而是需要紧紧围绕信息系统所承载的业务，通过对业务的重要性和业务遭受损失后所带来的影响来开展相关工作。批准通过的依据( 原则)有两个：一是信息系统的残余风险是可接受的；二是安全措施能够满足信息系统当前业务的安全需求。

《信息安全工程师教程（第2版）》
《信息安全技术信息安全风险评估规范》

1月10日凌晨，有网友爆出支付宝登录出现重大安全漏洞，熟人之间可以相互登录对方的支付宝账号。随后，支付宝官方对此做出了回应，网友反映的这一方式仅在特定的情况下才会实现，并表示验证方式已升级。不可否认，移动支付如今已经渗透到人们日常生活的方方面面。

但是，据数据显示，移动支付的风险也随之增加。因此，如何在抓住机会的同时，降低用户的使用风险，通过加强监管和行业自律解决移动支付的安全问题，将成为行业发展的关键。移动支付的安全问题之所以能够引爆朋友圈，究其原因，与移动支付已经占领大众消费生活密不可分。

“出门可以不带钱包，但是不能不带手机”，这显然已经成为了现在人们生活的真实写照。在近年来智能手机高度普及的情况下，移动支付当之无愧在大众、特别是年轻群体的各种消费场景中扮演着“主角”。根据Analysys易观发布的《中国第三方支付移动支付市场季度监测报告2016年第三季度》数据显示。

2016年第三季度，中国第三方支付移动支付市场交易规模达90419亿元人民币，环比增长20.5%。中国已成为全球最大的移动支付市场。2016年8月8日，微信支付推出全球移动支付节日——“无现金日”。根据微信支付官方披露的数据显示。

8月8日当天全国有超过1亿人次、近70万家门店参与活动，覆盖衣食住行的方方面面。除此之外，2016年12月12日，支付宝推出“双12”支付活动。据支付宝口碑披露的数据显示，“双12”三天，全球累计总共有超1.1亿消费者参与了“双12”，国际上有62万人次在境外刷支付宝消费，同比去年增长700%。

尽管移动支付使得交易的效率和便捷性得到了极大的提升，但是近年来移动支付安全事件屡屡发生，引起了人们对自身资金和信息安全的担忧与恐慌。这次支付宝修改密码漏洞只是移动支付安全风险问题的一个缩影。据中国银联近日发布的2016移动支付安全调查报告显示。

2016年电信诈骗案件持续高发，消费者的受损比例也持续走高，移动支付风险较2015年有所上升。尤其值得注意的是，50岁以上的中老年人群体遭遇过电信诈骗比例最高，达到五成，较平均水平高出11个百分点。报告还显示，遭受电信网络欺诈的被调查者中，超过八成遭遇过盗用社交账号诈骗。

除此之外，短信木马链接、骗取验证码等都有可能成为引发移动支付风险的“罪魁祸首”。在中国金融认证中心副总经理曹小青看来，安全问题将成为制约移动应用发展的主要因素之一，而由此引发的个人信息泄露问题，让很多消费者的安全感降到了“底线”以下。

《中国互联网金融发展报告》曾指出，面对日益严峻的互联网金融风险问题，迫切需要解决的是互联网金融信息安全保障、风险防范以及相应的监管问题。针对移动支付的法律监管问题，北京大学国家发展研究院副院长黄益平教授曾撰文指出。

“中国的互联网金融最早应该是从2004年支付宝开始的，如今已经十几年了。在相当长的一段时间没有监管，到2015年7月十部委才发布了《关于促进互联网金融健康发展的指导意见》。”这还仅仅是针对互联网金融的监管指导办法。