2015年度移動(dòng)網(wǎng)絡(luò)安全大事件盤(pán)點(diǎn)
——移動(dòng)終端安全警報(bào)頻發(fā)誰(shuí)動(dòng)了你的手機(jī)？

文/本刊記者 武曉婷

2015年度移動(dòng)網(wǎng)絡(luò)安全大事件盤(pán)點(diǎn)
——移動(dòng)終端安全警報(bào)頻發(fā)誰(shuí)動(dòng)了你的手機(jī)？

文/本刊記者 武曉婷

隨著智能手機(jī)終端的普及，移動(dòng)平臺(tái)正成為網(wǎng)絡(luò)安全威脅的重災(zāi)區(qū)，在2015年中，移動(dòng)平臺(tái)的安全系數(shù)不容樂(lè)觀，從以下幾個(gè)核心事件中或許可以讀懂。

支付寶大面積癱瘓 無(wú)法進(jìn)行操作

2015年5月，擁有將近3億活躍用戶(hù)的支付寶出現(xiàn)了大面積癱瘓，全國(guó)多省市支付寶用戶(hù)出現(xiàn)電腦端和移動(dòng)端均無(wú)法進(jìn)行轉(zhuǎn)賬付款、出現(xiàn)余額錯(cuò)誤等問(wèn)題。而今年十一長(zhǎng)假之后，則有“資深”支付寶用戶(hù)爆料稱(chēng)在登錄支付寶官網(wǎng)后無(wú)意間發(fā)現(xiàn)，自己的實(shí)名認(rèn)證信息下多出了5個(gè)未知賬戶(hù)，而這些賬號(hào)都沒(méi)有經(jīng)過(guò)他本人的認(rèn)證。

當(dāng)時(shí)有微博網(wǎng)友反映，手機(jī)和電腦版支付寶無(wú)法登錄，甚至無(wú)法進(jìn)行查詢(xún)和支付。一時(shí)間“支付寶炸了”成為微博熱詞。“在支付寶進(jìn)行轉(zhuǎn)賬、付款、查看余額寶等操作時(shí)，會(huì)提示‘系統(tǒng)錯(cuò)誤，請(qǐng)稍后再試’、‘網(wǎng)絡(luò)不給力’等，無(wú)法正常使用。”

隨后，支付寶官方回應(yīng)稱(chēng)，由于杭州市蕭山區(qū)某地光纖被挖斷，造成目前少部分用戶(hù)無(wú)法使用支付寶，運(yùn)營(yíng)商正在搶修，支付寶工程師正在緊急將用戶(hù)請(qǐng)求切換至其他機(jī)房，受影響的用戶(hù)正在逐步恢復(fù)。“您的資金安全并不會(huì)因此受到任何影響。如果出現(xiàn)交易信息不同步的情況，在修復(fù)后會(huì)恢復(fù)同步。”

“支付寶方面沒(méi)有具體的涉及到轉(zhuǎn)賬延遲等糾紛的事宜，如果確有這樣的用戶(hù)存在，我們會(huì)與個(gè)別用戶(hù)再議。畢竟這是不可預(yù)期的突發(fā)事件，并不會(huì)經(jīng)常發(fā)生。”支付寶工作人員說(shuō)，此次網(wǎng)絡(luò)故障波及用戶(hù)人數(shù)沒(méi)有具體統(tǒng)計(jì)。

翼支付頻遭盜刷 系統(tǒng)疑存隱患

2015年4月份起至今，翼支付綁定銀行卡被盜刷事件就已經(jīng)出現(xiàn)過(guò)7次，盜刷金額從幾百到幾萬(wàn)不定。多位銀行卡被盜刷受害者表示，在持卡人不知情的情況下，銀行卡中 的資金通過(guò)翼支付被盜刷，且翼支付無(wú)法查詢(xún)到被盜刷資金去向。沒(méi)有開(kāi)通翼支付的銀行卡也被盜刷，并且被盜刷期間沒(méi)有收到任何消費(fèi)和支付的短信提醒，這讓受 害者百思不得其解。

現(xiàn)在移動(dòng)支付越來(lái)越普及，越來(lái)越多的消費(fèi)者選擇用移動(dòng)端來(lái)消費(fèi)支付。而市場(chǎng)上第三方支付機(jī)構(gòu)也越來(lái)越多，安全性卻沒(méi)能得到解決。2015年7月，央行發(fā)布《非銀行支付機(jī)構(gòu)網(wǎng)絡(luò)支付業(yè)務(wù)管理辦法（征求意見(jiàn)稿）》，旨在建立統(tǒng)一的非金融機(jī)構(gòu)支付服務(wù)市場(chǎng)準(zhǔn)入制度和嚴(yán)格的監(jiān)督管理機(jī)制。相信，隨著監(jiān)管力度的加大，移動(dòng)支付行業(yè)的安全問(wèn)題也可以得到一定的解決。

網(wǎng)友狀告蘋(píng)果預(yù)裝APP不可卸載 稱(chēng)自主權(quán)遭侵犯

2015年7月，備受關(guān)注的蘋(píng)果手機(jī)預(yù)裝APP不可卸載案二審開(kāi)庭，該案引發(fā)外界對(duì)預(yù)裝軟件無(wú)法卸載是否合法的關(guān)注。為此，深圳市消委會(huì)還召集華為、三星、聯(lián)想、酷派、OPPO、HTC等品牌手機(jī)生產(chǎn)商及三大運(yùn)營(yíng)商，并決定將手機(jī)預(yù)裝軟件不可卸載問(wèn)題列入公益訴訟。在中新網(wǎng)IT頻道聯(lián)合數(shù)字100市場(chǎng)研究公司日前發(fā)起的一項(xiàng)小調(diào)查顯示，超七成網(wǎng)友手機(jī)中被預(yù)裝了不可卸載的APP，認(rèn)為此舉侵犯了用戶(hù)的自主選擇權(quán)，而三星手機(jī)成為預(yù)裝軟件的“重災(zāi)區(qū)”。其中，超八成網(wǎng)友對(duì)消委會(huì)將其列入公益訴訟表示支持。

據(jù)數(shù)字100市場(chǎng)研究公司調(diào)查數(shù)據(jù)顯示，75.7%的調(diào)查者手機(jī)中被預(yù)裝了大量不可卸載的APP。其實(shí)，手機(jī)預(yù)裝的大量APP，用戶(hù)使用率卻并不高。據(jù)DCCI調(diào)查顯示，33%的用戶(hù)從不使用預(yù)裝軟件，40%的用戶(hù)偶爾使用預(yù)裝軟件，43%的用戶(hù)對(duì)預(yù)裝軟件無(wú)法容忍，更有85.9%的用戶(hù)曾試圖卸載預(yù)裝軟件。

近350款蘋(píng)果APP現(xiàn)Xcode"惡意后門(mén)

2015年9月，據(jù)國(guó)家級(jí)網(wǎng)絡(luò)安全應(yīng)急機(jī)構(gòu)——國(guó)家互聯(lián)網(wǎng)應(yīng)急中心報(bào)告顯示，“開(kāi)發(fā)者使用非蘋(píng)果公司官方渠道的工具Xcode開(kāi)發(fā)蘋(píng)果應(yīng)用程序（蘋(píng)果APP）時(shí)，會(huì)向正常的蘋(píng)果APP中植入惡意代碼。被植入惡意程序的蘋(píng)果APP可以在App Store正常下載并安裝使用。該惡意代碼具有信息竊取行為，并具有進(jìn)行惡意遠(yuǎn)程控制的功能。”

蘋(píng)果系統(tǒng)程序編寫(xiě)軟件Xcode曝出被黑客植入惡意代碼，已有微信、滴滴打車(chē)、高德地圖、網(wǎng)易云音樂(lè)等近350款A(yù)PP被感染，可致用戶(hù)私密信息泄露，騰訊發(fā)布報(bào)告稱(chēng)受影響用戶(hù)可能超過(guò)1億。

XcodeGhost 病毒主要通過(guò)非官方下載的 Xcode 傳播，能夠在開(kāi)發(fā)過(guò)程中通過(guò) CoreService 庫(kù)文件進(jìn)行感染，使編譯出的APP被注入第三方的代碼，向指定網(wǎng)站上傳用戶(hù)數(shù)據(jù)。也就是說(shuō)，開(kāi)發(fā)者下載的非官方途徑的Xcode帶有XcodeGhost 病毒。有網(wǎng)友猜測(cè)是與迅雷有關(guān)，通過(guò)迅雷下載的Xcode是被修改的程序。不過(guò)在今日早間迅雷官方作出回應(yīng)，稱(chēng)經(jīng)過(guò)工程師排查，迅雷離線服務(wù)器上Xcode6.4和7.0兩個(gè)版本與官方下載內(nèi)容一致。

隨著植入病毒問(wèn)題“越鬧越大”，蘋(píng)果終于給出回應(yīng)。蘋(píng)果“強(qiáng)調(diào)”這次安全事件，是黑客誘騙應(yīng)用開(kāi)發(fā)者使用了修改過(guò)的蘋(píng)果應(yīng)用開(kāi)發(fā)工具Xcode，從而將惡意代碼注入至這些應(yīng)用。此外，蘋(píng)果還表示，已經(jīng)從App Store刪除了這些基于偽造工具開(kāi)發(fā)的應(yīng)用，同時(shí)正在與開(kāi)發(fā)者合作，確保他們使用合適版本的Xcode去重新開(kāi)發(fā)應(yīng)用。蘋(píng)果并沒(méi)有透露，iOS用戶(hù)采取哪種方式，來(lái)判斷自己設(shè)備中有哪些應(yīng)用是被感染的。

中國(guó)電信爆存重大漏洞 可查上億用戶(hù)信息

2015年10月，某漏洞響應(yīng)平臺(tái)爆出中國(guó)電信某系統(tǒng)的重大漏洞。通過(guò)該漏洞可以查詢(xún)上億用戶(hù)信息，涉及姓名、證件號(hào)、余額，并可以進(jìn)行任意金額充值、銷(xiāo)戶(hù)、換卡等操作。隨后，該漏洞得到中國(guó)電信廠商確認(rèn)。

“黑客發(fā)現(xiàn)這個(gè)漏洞的入口不是很難，比較低微的弱口令和越權(quán)操作就能進(jìn)入這個(gè)系統(tǒng)。”某漏洞響應(yīng)平臺(tái)負(fù)責(zé)人表示，“進(jìn)到系統(tǒng)之后，黑客發(fā)現(xiàn)有很多高危漏洞，竟然可以看到全國(guó)電信用戶(hù)的敏感信息。”事件發(fā)生后中國(guó)電信現(xiàn)已關(guān)停相關(guān)服務(wù)器。

中國(guó)電信集團(tuán)公司官方微博@中國(guó)電信回應(yīng)稱(chēng)，這是某省級(jí)公司一增值業(yè)務(wù)平臺(tái)的軟件漏洞，此前已按標(biāo)準(zhǔn)流程進(jìn)行處理，并于10月25日凌晨4點(diǎn)完成修復(fù)。

APP成流量“慣偷”一年偷走近400億元

2015年11月，手機(jī)套餐流量不清零政策推出不足2個(gè)月，流量莫名其妙“偷跑”事件頻出。有網(wǎng)絡(luò)安全專(zhuān)家稱(chēng)，除了個(gè)別大流量“偷跑”事件外，流量非正常消耗已成智能手機(jī)通病，每天都有大量流量在用戶(hù)不知情下流失。有數(shù)據(jù)顯示，國(guó)人一年為此多付出至少近400億元。

網(wǎng)絡(luò)安全專(zhuān)家表示，除個(gè)別大流量“偷跑”事件外，其實(shí)流量非正常消耗已成智能手機(jī)通病，每天都有大量流量在不知情下流失。

一名不愿透露姓名的APP從業(yè)者坦言，希望流量跑得快已是行業(yè)通病。這直接導(dǎo)致很多正常的、非惡意APP軟件在制作過(guò)程中，設(shè)計(jì)了在安裝時(shí)或之后“套取”用戶(hù)手機(jī)后臺(tái)使用權(quán)限，尤其是安卓系統(tǒng)下，很多軟件都會(huì)在用戶(hù)不知情、關(guān)不掉的情況下，肆無(wú)忌憚地更新、下載以增加流量消費(fèi)，其中不乏很多知名APP軟件。

“龐大的利益驅(qū)動(dòng)著APP制作者們處心積慮在做好正常APP業(yè)務(wù)的同時(shí)也惦記著用戶(hù)的流量。如今，手機(jī)APP非正常消耗流量的情況越來(lái)越普遍，這可能是大家覺(jué)得流量跑得快的主要原因。”裴智勇說(shuō)。

“惡意資費(fèi)消耗軟件也形成了一個(gè)產(chǎn)業(yè)鏈，有的軟件制作者為了增加下載量，通過(guò)植入用戶(hù)手機(jī)后臺(tái)的惡意木馬自動(dòng)下載手機(jī)軟件，造成用戶(hù)流量不知不覺(jué)間大量消耗。”專(zhuān)業(yè)人士這樣介紹。