報(bào)告稱70%的網(wǎng)絡(luò)借貸APP可被監(jiān)聽(tīng)篡改

不只是跑路風(fēng)險(xiǎn)，報(bào)告稱70%的網(wǎng)絡(luò)借貸APP可被監(jiān)聽(tīng)篡改

網(wǎng)絡(luò)借貸的風(fēng)險(xiǎn)不僅來(lái)自于運(yùn)營(yíng)者跑路，相關(guān)APP的信息技術(shù)風(fēng)險(xiǎn)、信息安全風(fēng)險(xiǎn)似乎更大。

最新公布的《2015-2016移動(dòng)互聯(lián)網(wǎng)金融APP信息安全現(xiàn)狀白皮書(shū)》(下稱“白皮書(shū)”)稱，目前網(wǎng)貸APP整體安全性并不高，每個(gè)APP都存在不同程度的信息安全問(wèn)題，70%的APP中的用戶信息可以被黑客監(jiān)聽(tīng)和篡改。

這份白皮書(shū)由中國(guó)信息通信研究院信息產(chǎn)業(yè)通信軟件評(píng)測(cè)中心、移動(dòng)互聯(lián)網(wǎng)系統(tǒng)與應(yīng)用安全國(guó)家工程實(shí)驗(yàn)室和上海掌御信息科技有限公司等3家單位完成檢測(cè)，上海微令信息科技有限公司校園司令參與，上海淳粹文化傳媒有限公司聯(lián)合撰寫(xiě)。

報(bào)告研究對(duì)象是安卓平臺(tái)上88款最流行的移動(dòng)金融APP，這88家也是網(wǎng)絡(luò)借貸第三方分析研究機(jī)構(gòu)網(wǎng)貸之家2015年評(píng)比的發(fā)展指數(shù)排名前列者。按照網(wǎng)貸之家的數(shù)據(jù)，盡管互聯(lián)網(wǎng)金融大整治清理了一批，現(xiàn)存的P2P企業(yè)仍有2000家。而大部分在信息技術(shù)、信息安全上似乎并不是太專業(yè)。

測(cè)評(píng)結(jié)果顯示，互聯(lián)網(wǎng)金融普遍存在加密算法的誤用、網(wǎng)絡(luò)傳輸保護(hù)不足、應(yīng)用程序缺乏保護(hù)措施、本地文件及系統(tǒng)日志敏感信息泄漏等幾個(gè)方面的問(wèn)題。嚴(yán)重之處在于，個(gè)別APP還存在組件暴露漏洞、可數(shù)據(jù)備份漏洞、Webview遠(yuǎn)程執(zhí)行漏洞、拒絕服務(wù)攻擊漏洞、網(wǎng)絡(luò)接口攻擊漏洞等等其他安全問(wèn)題。

該報(bào)告還列出了移動(dòng)互聯(lián)網(wǎng)金融APP信息安全的十大風(fēng)險(xiǎn)，其中危害最大的是，15%的互聯(lián)網(wǎng)金融APP與服務(wù)器端交互的數(shù)據(jù)通過(guò)明文的通信信道傳輸，這可以導(dǎo)致用戶進(jìn)行的金融交易信息、密碼口令等秘密數(shù)據(jù)完全暴露在攻擊者面前。黑客不僅可以監(jiān)聽(tīng)用戶進(jìn)行的所有交易信息，還可以篡改交易內(nèi)容甚至冒充用戶登錄進(jìn)行交易。

此外，報(bào)告列舉的風(fēng)險(xiǎn)還包括通訊數(shù)據(jù)可解密、敏感數(shù)據(jù)本地可破解、調(diào)試信息泄露、敏感信息泄露、密碼學(xué)誤用、功能泄露、可二次打包、可調(diào)試、代碼可逆向等風(fēng)險(xiǎn)。其中，“可調(diào)試”指的是客戶端APP能夠被調(diào)試，動(dòng)態(tài)的提取、修改運(yùn)行時(shí)的程序數(shù)據(jù)和邏輯;“代碼可逆向”指的是客戶端APP的邏輯能夠被輕易獲取和逆向，得到代碼和程序中的敏感數(shù)據(jù)。以上兩項(xiàng)的風(fēng)險(xiǎn)范圍最高，達(dá)到了70%，分別可能導(dǎo)致用戶信息被監(jiān)聽(tīng)篡改，以及APP被攻擊和仿冒。

這份報(bào)告還給出了一份“白名單”，也就是安全性最高的10個(gè)互聯(lián)網(wǎng)金融APP，包括開(kāi)鑫貸、大麥理財(cái)、九信金融、PP理財(cái)、愛(ài)投資等，而大家耳熟能詳?shù)年懡鹚?、人人貸、積木盒子等公司并不在其列。

對(duì)此結(jié)果，報(bào)告撰稿人之一、上海掌御信息科技有限公司CTO李卷孺表示，APP的安全性跟企業(yè)規(guī)模并不成正比，白名單只是通過(guò)檢測(cè)發(fā)現(xiàn)上述幾家的安全系數(shù)更高，明顯是找了專業(yè)技術(shù)人員多次調(diào)試。

李卷孺稱，其實(shí)很多網(wǎng)貸APP的漏洞對(duì)于專業(yè)人員來(lái)說(shuō)還是顯而易見(jiàn)的，因此需要呼吁業(yè)界在聘用軟件工程師時(shí)側(cè)重信息安全方面的考量。由于擔(dān)心引發(fā)黑客對(duì)漏洞明顯的互聯(lián)網(wǎng)金融APP進(jìn)行攻擊，他們并沒(méi)有對(duì)外公開(kāi)這些公司的名稱，但具體的測(cè)評(píng)報(bào)告是對(duì)受測(cè)公司公開(kāi)的。

此外，對(duì)于網(wǎng)貸APP是不是比傳統(tǒng)金融機(jī)構(gòu)APP的安全性更低，李卷孺并不這么認(rèn)為：“具體情況具體分析，有些傳統(tǒng)金融APP也很容易受攻擊，有些金融機(jī)構(gòu)的網(wǎng)站安全性高，但是手機(jī)客戶端沒(méi)有認(rèn)真做好這一點(diǎn)。”

安卓系統(tǒng)上這些APP不安全，那蘋(píng)果系統(tǒng)呢?

李卷孺認(rèn)為，安卓手機(jī)的應(yīng)用市場(chǎng)太龐雜，且下載太容易：“有時(shí)候發(fā)個(gè)短信、上個(gè)網(wǎng)頁(yè)就能下載，門(mén)檻比較低，惡意軟件頻頻出現(xiàn)。”但蘋(píng)果也不完全省心，“雖然蘋(píng)果為了信息安全，至今沒(méi)有開(kāi)放通話記錄這個(gè)功能，但是蘋(píng)果手機(jī)上的大型應(yīng)用可以直接傳輸通訊錄，只能說(shuō)蘋(píng)果和安卓手機(jī)的風(fēng)險(xiǎn)各有不同。”