2024年3月12日发(作者：)

安全即服务——工商银行网上银行安全功

能介绍

作者：敦宏程

来源：《中国金融电脑》 2015年第7期

工商银行在2004年网上银行快速发展时期，成立了银行安全专业团队ART小组。ART小组

成立后，在与黑客对抗的过程中，积累了宝贵经验，同时不断优化完善网上银行安全措施。在

第二届国家网络安全宣传周金融主题日上，工商银行作为唯一金融机构代表参加“网络安全知

识大讲堂”主题演讲活动，数据中心（北京）安全部总经理敦宏程分享介绍了工商银行网上银

行安全建设经验。

一、信息安全发展趋势

安全是一个古老的话题，最早源于军事领域。一个非常著名的例子是二战时英国人破解德

国人发明的英格玛密码机的故事。当时英国人下定决心要破解英格玛密码，但是英格玛密码非

常复杂，据说有159 万亿种可能性，按照当时的计算能力，需要约2000 万年的时间。后来英

国数学家图灵发明了机器计算，将破解所需计算时间缩短到20 分钟，英格玛密码最终得以破

解。

现在的信息安全，本质上服务于国家战略，与国计民生息息相关，对企业的重要性不言而

喻。随着银行业务的发展，在金融领域利用互联网的趋势非常明显，体现了“互联网+”的理念，

在互联网金融领域安全非常重要。以往金融企业的安全工作更多的放在企业内部，而随着互联

网应用的快速发展，用户成为互联网金融交易的重要环节，维护客户信息和资金安全越来越重

要，金融企业安全工作的范围不断扩大。

二、网上银行面临的主要安全威胁

工商银行于1999 年开始建设网上银行，多年来网上银行业务种类、客户数量和业务量都

呈快速增长态势，也不可避免成为黑客攻击目标，期间遭遇的各种恶意攻击、钓鱼网站等不计

其数。这种情况下，确保网银安全成为工商银行网上银行发展面临的最大挑战。经过长期积累，

我们将网银面临的主要风险总结如下。

（1）恶意代码

20 世纪90 年代中期，互联网病毒已经开始泛滥，各种反病毒软件也应运而生，起到了较

好的治理作用。经过10 多年的对抗，2010 年后情况发生了明显改变。分析其中的原因是，防

病毒技术大多依赖于病毒特征码，而随着网络攻击越来越具有针对性，新型恶意代码层出不穷，

导致病毒特征库应接不暇，防不胜防。据专业机构统计，目前全球平均每分钟产生新的恶意代

码达到387 个，虽然防病毒技术也在不断发展，产生了云安全、基于行为的检测等技术，但总

体来看，恶意代码对网上银行的影响还是非常严重的。

（2）钓鱼网站

2015 年4 月，据中国反钓鱼联盟统计，64.02% 的钓鱼网站为金融证券类的钓鱼网站。钓

鱼网站的发展也有一个过程，工商银行安全团队2004 年成立之初，跟踪了国外的网络安全趋

势，当时美国钓鱼网站猖獗。我们预计，中国的银行业不久以后也有可能面临同样的威胁。果

然2004 年11 月，我们发现了第一个针对银行的假冒网站，2005 年假冒网站开始盛行，为此

工商银行安全团队进行了大量反钓鱼网站治理工作，并于2009 年自主研发了一套假冒网站识

别系统，对假冒网站进行主动防治。在防治的过程中，工商银行采取信息共享策略。事实上，

对于钓鱼网站的治理需要业界各方秉承开放的态度，共同致力于铲除社会毒瘤。

（3）黑色产业链

早期黑客多为单独行动，近年来，不法分子呈组团作案态势，犯罪团伙有明确的上下游分

工，形成恶意代码编写、客户信息收集、盗窃、销赃等完整产业链。金融业面临的安全威胁进

一步增大。目前黑色产业链的作案手段非常专业，以收集个人敏感信息为例，其设置了明确的

“拖库、洗库、撞库、社工库”作案步骤。

第一步“拖库”：不法分子发现了某个网站的漏洞，把网站的用户数据，特别是用户名密

码等数据下载下来。

第二步“洗库”：拖库的下载数据量相当大，洗库就是从中挑选出有价值的客户，然后补

充一些信息，比如给用户打电话，骗取其身份证号、账号、信用卡有效期等，补充数据库中缺

少信息。

第三步“撞库”，不法分子收集到了信息以后，到其他网站尝试登录，不能成功的就淘汰

掉，有价值的保存起来，最后整理形成一个“社工库”。“社工库”以一定价格在网络上出售，

买入者还会再次转卖，每转卖一次价格就低一些，最后甚至免费。

黑色产业链严重危害网络安全。那些只采用用户名和密码进行认证的网站存在相当大的风

险隐患。

三、工商银行网银安全服务

为确保网银安全，工商银行为客户提供了多种安全服务，主要包括以下三个方面。

（1）网银登录安全

①并发控制机制。不允许同一账户在不同地点同时登录。 ②防钓鱼控件和客户预留验证

服务。工商银行防钓鱼控件软件能识别一些假冒网站，如果用户安装了防钓鱼控件，在访问到

假冒网站时控件会警告和拦截。预留验证信息是由用户留一句只有自己知道的话在网银上，这

样用户打开网银以后，如果看到这句话，就可以判断这是真实的网站，否则是假冒网站。 ③

网银安全控件。保障客户登录密码安全，防止木马等恶意程序记录用户输入的内容。

④防暴力破解机制，如限制密码尝试次数，采用图形验证码等。据某网站统计数据：每次

更换验证码以后，业务量下降80%，说明网站登录中80% 左右为机器操控，如无验证码，机器

破解难度会降低很多，因此验证码措施必不可少。

⑤干预客户设置密码的复杂度。当客户密码设置过于简单时，对其进行提醒服务。因为借

助“社会工程学”手段（如通过个人博客等在线社交渠道了解到客户喜欢贝克汉姆，于是试

beckham123 之类的组合），黑客很容易破解密码。事实上，设置足够强度的密码非常有讲究，

用生日之类的信息组合起来做密码比较容易被破解。

⑥提供短信登录提醒服务。一旦发生网银登录事件，第一时间给客户预留手机发提醒短信。

如非本人登录，用户可将短信回复至工商银行客户号码95588，系统将把登录者强制踢出网银。

⑦提供登录和登出记录。工商银行网银用户可以在线查询自己的账户登录网银的时间和登

录计算机的IP地址。IP 地址和地域关系密切，如果账户授权他人使用，可以判断其登录时间

和地点，出现异常登录时间或地点时，可及时发现账户风险。

（2）动账类交易安全

①各种安全认证介质。2005 年以前，网上银行对交易支付采用密码验证方式，为了提升安

全强度，工商银行针对小额交易推出了口令卡( 即“刮刮卡”），一张卡片有80 个数字，用

户每次交易的时候刮开一次，进行验证。

针对大额交易，工商银行推出一代U 盾用于数字签名，后续又升级推出二代U 盾，显示收

款人的姓名、账号、金额，用户只有在二代U 盾上按OK 键，交易才能达成。今年工商银行还

推出了音频U 盾，手机银行也可以使用。可以说，U 盾是目前最安全的网银认证方式。

此外，工商银行在传统“时间同步”型电子密码器的基础上，增加“挑战应答”认证模式。

以转账汇款为例，用户在电子密码器上输入收款账号的后6 位数字和转账金额，密码器据此算

出一个动态密码。这种方式可以有效防范不法分将用户给A 转账的动态密码使用到给

B 转账的交易中。

②网银转账业务提供“大验证码”机制：大验证码图片中，收款人名字、收款账号和验证

码信息的位置随机显示，并且要求用户输入随机显示的红色验证码，确保黑客无法篡改收款人

账号，取得良好效果。 ③“余额变动提醒”服务，除短信渠道，工商银行融e 联手机App

也具有接收提醒功能。

④ B2C 类业务，除提供验证码、订单超时等传统的安全服务，工商银行还与上游商户合

作共同加强安全管理，如推动商户增加图形验证码，从上游开始控制风险，并且实现了防欺诈

接口，对订单欺诈进行检测，发现订单欺诈时系统会及时阻断交易。此外客户开通B2C 支付业

务时，以保护期机制，通过交易额的累积不断提高额度以控制风险，也属于额度控制的一种。

⑤信用卡类业务，对境外购物网站线上支付选择无卡无密方式的，工商银行提供一定的管

理功能，用户自行定制应用场景。对虚拟信用卡，如工行云支付业务，对无卡无密支付设定额

度限制。⑥快捷支付类业务无需注册个人网银，使用卡号加手机号或卡号加密码的方式进行支

付验证。对此类业务，工商银行采取手机号范围限制、短信提醒、单笔限额、日累计限额等安

全控制措施。

（3）个人信息安全

①对于网银中显示的个人敏感信息，如身份证号等信息，局部数字以星号代替，避免他人

看到或监测到客户的完整信息。

②对于密码信息，除以星号显示外，还通过安全控件进行加密处理，确保密码传输过程中

不被窃取。密码加密存储，杜绝明文存储敏感信息。

③在网银后台校验客户密码错误时，会对返回的提示信息进行模糊处理，防止尝试猜测密

码的行为。四、对网银用户的安全建议要维护网银安全，既需要银行提供丰富、强健的安全服

务，也需要用户提高安全意识、采取正确的方法使用网上银行。

（1）个人信息要保护

网银用户名、登录密码、取款密码、身份证号、动态密码等不能泄露给其他人；尽可能不

把银行卡挂在存折账户下；不要把身份证号、手机号作为密码；不把信用卡图像通过网络传输。

（2）养成良好的安全习惯

避免在公共网络上使用网银，登录网银的计算机、手机要安装防病毒软件，认证介质使用

完毕要及时拔下。

（3）注意账户资金变动情况建议使用余额变动提醒服务，及时了解资金变动情况。

（4）防范诈骗

谨防电话诈骗，不泄露个人信息，当对方索要认证介质时千万不要上当；电子邮件、短信

中的陌生链接不要点击，黑客通过这种方式传播木马，其中的链接有可能指向假冒网站。