銀行更容易受到網絡移動攻擊

孟文出

根據ImmuniWeb的數據，幾乎所有大銀行都容易遭受網絡和移動攻擊，黑客可以訪問敏感數據。

“我們從利用增強的方法，以往的研究，涵蓋網絡和世界上很大的企業移動應用程序的安全性從FT全球500強排行榜”報告說。“為了這項研究，我們仔細研究了標準普爾全球列表的外部網絡應用程序，API和移動應用程序，其中包含來自22個國家的全球很大的金融組織。”

根據調查結果，85個電子銀行Web應用程序未通過GDPR合規性測試，49個未通過PCI DSS測試。報告稱，“只有3個主要銀行（瑞士信貸銀行，丹麥銀行和Handelsbanken）的100個網站的SSL加密和網站安全等級很高”。

“鑒于研究的非侵入性及所研究的頂級銀行可用的強大資源，調查結果敦促金融機構修改現有的應用安全方法”。ImmuniWeb的首席執行官兼創始人Ilia Kolochenko說。

“大多數數據泄露涉及或始于不安全的網絡和移動應用程序，這些應用程序過于頻繁地被未來的受害者優先考慮。不幸的是，今天大多數網絡安全團隊都承擔著履行合規和監管要求的重任，這是首要任務，而且缺乏可用資源來解決其他重要任務。最終，它們成為網絡犯罪分子的低調成果。”

研究人員發現了針對金融機構客戶的29項有效網絡釣魚活動。“網絡釣魚網站要么傳播銀行惡意軟件，旨在竊取電子銀行憑據，要么提供旨在竊取受害者憑據的欺詐性登錄表單。大多數惡意網站都是在美國托管的，”報告說。

在相關新聞中，Proofpoint對16個行業的員工安全意識進行了審計，結果發現每4個有關網絡釣魚的問題中就有一個被錯誤回答。然而，根據2019年的Beyond the Phish報告，金融業是表現很好的行業，最終用戶正確回答了所有問題的80%。

Proofpoint安全意識培訓戰略和開發副總裁Amy Baker在一份新聞稿中說：“網絡犯罪分子是收集個人信息的專家，可以發起針對個人的高度針對性和令人信服的攻擊。”

“在建立強大的安全文化時，實施持續有效的安全意識培訓是必要的基礎支柱。教育員工了解網絡安全優秀實踐是讓用戶了解如何保護他們及其雇主數據的最佳方式，使用戶最終成為抵御網絡攻擊者的最后一道防線。

企業應部署SSL證書。為了防止用戶誤入假冒網站或釣魚網站的陷阱，企業網站應部署安裝SSL證書或更高級別的EV SSL證書，將企業網站和釣魚網站區分開，網址欄展示Https、安全鎖以及證書中的網站真實身份信息，讓用戶擁有足夠的信息判斷網站真實性，對比之下，假冒網站立顯原形。

企業應為員工通信郵箱部署電子郵件證書，為保護客戶的利益，維護客戶數據安全。郵件用戶使用GDCA郵件證書對電子郵件進行數字簽名并加密傳輸，一方面可以保證郵件發送者身份真實性，另一方面保障了郵件傳輸過程中不被他人閱讀及篡改，并由郵件接收者進行驗證，確保電子郵件內容的完整性。