你有用銀行APP嗎？ 過半銀行APP有資安漏洞

又以11支APP沒有做帳號與密碼加密，資安威脅最大。加密等於是多一層保護，如果不幸被駭，起碼駭客不會那麼容易拿到用戶的帳號、密碼，甚至身分證字號。

而「程式碼混淆」是為了增添萬一駭客入侵，對於程式碼解讀的困難度。此次調查發現共14支APP未做到程式碼混淆，「等於駭客看得懂你寫的程式，就知道哪邊寫不好、有漏洞，能針對那一點去攻擊，」黃敬博說。

至於 「虛擬環境反制與偵測」是指，銀行APP在下載時，是否能否察覺載具有問題。例如，駭客常運用「沙箱」，一種假冒的虛擬手機環境來收集用戶行為。此次檢測中，除玉山銀通過外，19家銀行都可以被下載，敏感度不足。第四個檢測項目「除錯訊息含敏感資訊」，幾乎全數過關，是表現最好的一項。

黃敬博說明，一旦有資安瑕疵，用戶如果在公用無線上網地區使用銀行APP，雖然仍有一定難度，但被有心駭客侵入的風險就大增。但若是用家用wifi、3G或4G連線，就會比較安全。但「看到結果，說實話，自己也嚇壞了，」黃敬博憂心地說。以「程式碼混淆」有14家未通過檢測為例，這是寫程式的基本資安邏輯，「這叫basic common sense。」

他說，程式碼沒混淆、除錯訊息沒關掉，都反映開發者在程式上架前有重大疏失。

表一  20支國銀app檢測結果

單位：支

為什麼不安全率這麼高？黃敬博說，其實從網頁時代就有中間人攻擊，差別在瀏覽器僅幾家大廠，如微軟、Chrome、Firefox，對待網路憑證確認較謹慎。如今APP開發者眾多，對資安防範的認知、專業參差不齊。但多位銀行界人士指出，國內銀行APP多委外開發，且集中少數廠商。

另一家有ＡＰＰ資安檢驗資格的業者，勤業眾信資安科技暨鑑識分析中心經理陳威棋指出，委外廠商很多是小公司，在時間壓力下，資安往往不是優先考量。 黃敬博也說，此次檢測的4項資安問題，「對開發者來講，不是偉大的技術門檻。加上，也不會影響APP的運作流暢度，」他認為，問題出在大家不夠重視，心態停留在「先求有再求好」。

陳威棋觀察，許多ＡＰＰ開發者會用現成的程式開發套件來寫ＡＰＰ，這些現成套件比較容易被埋後門等漏洞，開發者貪圖一時方便，拿來開發將後患無窮。

《2016資誠全球經濟犯罪調查報告》已指出，逾五成受訪者認為，過去兩年，網路安全威脅的風險越來越多，且金融業威脅最大。該報告更指出，不到四成的企業具備完整的網路犯罪防制及應變計畫，幾乎三分之一的企業完全沒有因應計畫。

自律有用嗎？

這麼高比例的不安全率，金管會如何解決？金管會副主委桂先農接受天下記者訪問時說，目前由銀行公會訂定的自律規範，包括「金融機構提供行動裝置應用程式注意事項」、「金融機構辦理電子銀行業務安全控管作業基準」，均請公會轉知各大金控，由各金控切實落實內控，一旦違反可依銀行法第61-1條，視情節輕重予以程度不等的處分，最重可解除董事、監察人職務或停止其於一定期間內執行職務。

此次4項檢測項目中，「憑證綁定」、「虛擬環境反制與偵測」均名列自律規範項目，但第一項不及格率高達七成，第二項不及格率高達95%，自律足夠嗎？金管機關恐怕必須說服消費者。

金管會官員透露，金管會已請銀行公會研議，未來金融業的APP在上架前，必須先通過安全檢測。新制上路前，用戶要承擔多大資安威脅，取決於業者的意願與金管會金檢的力道。

如同勤業眾信資安科技暨鑑識分析中心副總經理溫紹群所說，現在的消費者去下載APP，就跟買黑輪一樣稀鬆平常，銀行的資安是品牌的一部分，銀行、主管機關都不該怠忽。

註[1] 此次測試APP僅限Android版本，測試版本皆為今年5月20日以前最新的版本。