道高一尺魔高一丈？正義聯(lián)盟來(lái)了！

“目前黑產(chǎn)或者黑客組織都形成了黑生態(tài)，他們之間的共享機(jī)制卻比白生態(tài)要好，所以迫使我們必須聯(lián)合起來(lái)對(duì)抗黑色產(chǎn)業(yè)鏈”

——百度安全實(shí)驗(yàn)室韋韜

11月3日，首屆中國(guó)互聯(lián)網(wǎng)安全領(lǐng)袖峰會(huì)(簡(jiǎn)稱CSS)開幕，互聯(lián)網(wǎng)三巨頭BAT各自派出企業(yè)安全部門最高負(fù)責(zé)人，激情對(duì)話“互聯(lián)網(wǎng)+”時(shí)代下的安全新生態(tài)，更向包括360公司等產(chǎn)業(yè)鏈各方發(fā)出呼吁，希望構(gòu)筑常態(tài)化、機(jī)制化互聯(lián)網(wǎng)安全交流平臺(tái)。11月4日，互聯(lián)網(wǎng)金融安全聯(lián)盟又在京成立，來(lái)自騰訊、京東金融、中國(guó)支付清算協(xié)會(huì)、北京市公安局、中信銀行、光大銀行、浦發(fā)銀行、光大永明人壽等機(jī)構(gòu)的風(fēng)險(xiǎn)管理負(fù)責(zé)人齊聚，共同宣布互聯(lián)網(wǎng)金融安全聯(lián)盟正式成立，聯(lián)盟將建立和共享互聯(lián)網(wǎng)金融安全的負(fù)面清單，聯(lián)合全行業(yè)共同防范和打擊各類互聯(lián)網(wǎng)金融的不法行為和不法主體。

A

“安全永遠(yuǎn)會(huì)滯后于IT本身的發(fā)展”

上月24日，一場(chǎng)由知名安全團(tuán)隊(duì)KEEN主辦的GeekPwn 2015嘉年華在上海舉行，安全極客們當(dāng)天即場(chǎng)演示“魔高一丈”，超過(guò)40款主流軟硬件產(chǎn)品成為選手攻破對(duì)象，移動(dòng)支付、O2O、智能家居等當(dāng)前最熱門領(lǐng)域成為安全大黑洞。

在智能硬件領(lǐng)域：一架大疆無(wú)人機(jī)在GeekPwn評(píng)委的操作下起飛，按照評(píng)委的遙控指令穩(wěn)定飛行后降落，評(píng)委也將遙控器放在一邊。不料，此時(shí)無(wú)人機(jī)旋翼開始緩緩轉(zhuǎn)動(dòng)并飛行起來(lái)。這是GeekPwn嘉年華選手在外場(chǎng)演示劫持無(wú)人機(jī)的畫面。

手機(jī)：包括小米、華為等主流手機(jī)品牌紛紛被黑客攻破。黑客通過(guò)在安卓手機(jī)上安裝一個(gè)普通權(quán)限的app，利用本地提權(quán)漏洞獲取系統(tǒng)權(quán)限后，該app會(huì)替換手機(jī)的開機(jī)畫面。

移動(dòng)支付：黑客們輕松攻破了拉卡拉收款寶POS機(jī)，使卡內(nèi)余額莫名消失。同樣被攻破的還有盒子支付POS機(jī)。此外，通過(guò)銀聯(lián)賬戶交易系統(tǒng)，黑客可以盜刷用戶銀行卡……

啟明星辰首席戰(zhàn)略官潘柱延對(duì)記者表示，安全永遠(yuǎn)會(huì)滯后于IT本身的發(fā)展，這是個(gè)客觀規(guī)律，“只有有了IT的新東西出來(lái)，譬如云計(jì)算或者大數(shù)據(jù)，才會(huì)出現(xiàn)針對(duì)云計(jì)算大數(shù)據(jù)的威脅，才會(huì)談到云計(jì)算大數(shù)據(jù)安全的針對(duì)性措施，安全只能緊緊跟上，其實(shí)這也是做這個(gè)行業(yè)很累的地方。”

B

完整的黑色產(chǎn)業(yè)鏈條已形成

據(jù)互聯(lián)網(wǎng)金融安全聯(lián)盟的發(fā)起方之一京東金融透露，京東白條為廣大消費(fèi)者提供了“先消費(fèi)，后付款”便捷服務(wù)的同時(shí)，也吸引了黑中介、網(wǎng)絡(luò)詐騙分子等黑色產(chǎn)業(yè)鏈的注意，一些新型犯罪方式開始浮現(xiàn)。

據(jù)介紹，針對(duì)京東白條，有不法分子通過(guò)黑色產(chǎn)業(yè)鏈條渠道獲得賬號(hào)密碼后，到京東進(jìn)行撞庫(kù)登錄，成功后即利用用戶開通的京東白條服務(wù)多次購(gòu)買iPhone等貴價(jià)商品；即使被京東風(fēng)控系統(tǒng)察覺(jué)而取消交易，用戶也可能因?yàn)橄到y(tǒng)的強(qiáng)制保護(hù)機(jī)制造成登錄失敗等不便。

還有一些所謂的“中介”機(jī)構(gòu)通過(guò)各種網(wǎng)絡(luò)渠道發(fā)布消息，招羅有套現(xiàn)意愿的用戶，并聯(lián)系提供套現(xiàn)業(yè)務(wù)的商家，三方隱蔽合作，試圖躲過(guò)白條風(fēng)控實(shí)現(xiàn)套現(xiàn)。這些中介往往會(huì)收取不菲中介服務(wù)費(fèi)，一般10%-30%比例，甚至更高。

京東金融風(fēng)險(xiǎn)管理部總監(jiān)程建波透露說(shuō)，黑中介的作戰(zhàn)方式非常隱蔽，通過(guò)網(wǎng)絡(luò)傳播擴(kuò)散的速度非常快，比如說(shuō)他們發(fā)現(xiàn)在某社交媒體的一些討論群里面，有很多黑中介聚集在一起相互交流。他們也有行業(yè)組織，每個(gè)中介手上掌握著很多自己的用戶，一個(gè)中介針對(duì)某一家機(jī)構(gòu)的產(chǎn)品，攻擊成功以后，會(huì)把經(jīng)驗(yàn)總結(jié)出來(lái)，通過(guò)網(wǎng)絡(luò)瘋狂地?cái)U(kuò)散，一個(gè)群傳到另一個(gè)群，一個(gè)渠道傳到另一個(gè)渠道，成擴(kuò)散效應(yīng)，速度非常快，攻擊非常猛，最快的在一個(gè)小時(shí)內(nèi)就收手。這些人并不是統(tǒng)一的組織，但已經(jīng)形成一種灰色的，甚至是黑色的產(chǎn)業(yè)。

攻強(qiáng)守弱

“唇亡齒寒是聯(lián)盟的動(dòng)力”

根據(jù)一份最新的《CTO企業(yè)信息安全調(diào)查報(bào)告》數(shù)據(jù)顯示，超過(guò)45%的企業(yè)在過(guò)去三年曾發(fā)生過(guò)不同量級(jí)的信息安全事故，甚至不乏我們所熟悉的知名企業(yè)；這些安全事故直指商業(yè)機(jī)密、用戶信息等核心信息資產(chǎn)。而在企業(yè)本身，23.9%的企業(yè)沒(méi)有信息安全團(tuán)隊(duì)，30.3%的企業(yè)每年基本上沒(méi)有信息安全預(yù)算，小微企業(yè)尤其是小微金融企業(yè)在這方面更加摳門，接近40%的小微企業(yè)沒(méi)有信息安全團(tuán)隊(duì)和資金預(yù)算。

此次CSS峰會(huì)上，BAT三巨頭安全領(lǐng)域高管攜手呼吁產(chǎn)業(yè)鏈上從系統(tǒng)集成商、硬件制造企業(yè)，到網(wǎng)絡(luò)產(chǎn)品運(yùn)營(yíng)機(jī)構(gòu)，共同樹立起一致的安全生態(tài)理念，將各自管理環(huán)節(jié)提供的安全防范產(chǎn)品對(duì)危害威脅的監(jiān)測(cè)信息共通共享，摒棄傳統(tǒng)“危害-治理”的單一安全機(jī)制，建立“預(yù)警-防范-治理-數(shù)據(jù)共享”的新型安全機(jī)制。

互聯(lián)網(wǎng)金融安全聯(lián)盟方則表示，聯(lián)盟將建立和共享互聯(lián)網(wǎng)金融安全的負(fù)面清單，包括欺詐中介、套現(xiàn)商家、違法個(gè)人等三類名單，聯(lián)合全行業(yè)共同防范和打擊各類互聯(lián)網(wǎng)金融的不法行為和不法主體。

騰訊表示，將把手機(jī)管家的移動(dòng)安全能力和數(shù)據(jù)、自主殺毒引擎、安全云庫(kù)開放給產(chǎn)業(yè)鏈的合作伙伴，與華為、小米、電信等50家重要伙伴建立了全面合作，與國(guó)家計(jì)算機(jī)病毒中心等建立了聯(lián)合安全實(shí)驗(yàn)室，探索前沿安全技術(shù)。

京東金融也表示，風(fēng)控是互聯(lián)網(wǎng)金融最核心的能力，其風(fēng)控模型已經(jīng)可以實(shí)現(xiàn)直接支撐toC端的產(chǎn)品，還可以作為to B的服務(wù)對(duì)外輸出，京東金融愿意分享在風(fēng)險(xiǎn)管理領(lǐng)域積累下來(lái)的經(jīng)驗(yàn)，支持整個(gè)行業(yè)打擊黑產(chǎn)、為互聯(lián)網(wǎng)金融安全提供創(chuàng)新解決方案。

當(dāng)然，并非所有的關(guān)聯(lián)企業(yè)都愿意加入這些聯(lián)盟，又或者加入了也不愿意全部開放，擔(dān)心企業(yè)利益受損。

對(duì)此，安全企業(yè)代表啟明星辰的潘柱延回應(yīng)說(shuō)，“平時(shí)大家在客戶的爭(zhēng)奪上會(huì)有利益沖突，但真正遇到安全事件的時(shí)候大家是站在一起的，共同的對(duì)手是攻擊者、黑產(chǎn)、破壞者。行業(yè)環(huán)境才更有秩序，大企業(yè)才能夠維持自身正常的發(fā)展。這是一個(gè)唇亡齒寒的關(guān)系，也是聯(lián)盟各方一起合作的目標(biāo)和動(dòng)力。”