隨著移動金融服務(wù)的快速發(fā)展，移動金融App逐漸成為人們生活和工作中不可或缺的組成部分。移動金融App在為金融消費者提供便捷金融服務(wù)的同時，其自身的安全性也日益引起社會關(guān)注。金融安全關(guān)乎國家安全，防范風(fēng)險是金融業(yè)的永恒主題，加強移動金融App的安全防護已經(jīng)成為推動金融創(chuàng)新、促進普惠民生的重要任務(wù)和先決條件。

黨中央、國務(wù)院高度重視移動互聯(lián)網(wǎng)安全。習(xí)近平總書記指出，沒有網(wǎng)絡(luò)安全就沒有國家安全，就沒有經(jīng)濟社會穩(wěn)定運行。近年來我國相繼頒布《中華人民共和國網(wǎng)絡(luò)安全法》、《中華人民共和國數(shù)據(jù)安全法》、《中華人民共和國個人信息保護法》、《網(wǎng)絡(luò)安全審查辦法》等法律法規(guī)，為網(wǎng)絡(luò)安全和信息化建設(shè)提供了堅實的法律保障。中國人民銀行從政治安全的高度認識防范化解金融風(fēng)險的極端重要性，統(tǒng)籌金融發(fā)展和安全，守住了不發(fā)生系統(tǒng)性金融風(fēng)險的底線；牽頭打好防范化解重大金融風(fēng)險攻堅戰(zhàn)，取得了重要的階段性成果，重點領(lǐng)域的風(fēng)險得到穩(wěn)妥處置，金融風(fēng)險整體收斂、總體可控。

近年來金融行業(yè)出臺相關(guān)標準規(guī)范，持續(xù)加強移動金融App安全管理?！吨袊嗣胥y行關(guān)于發(fā)布金融行業(yè)標準加強移動金融客戶端應(yīng)用軟件安全管理的通知》要求金融機構(gòu)加強客戶端軟件設(shè)計、開發(fā)、發(fā)布、維護等環(huán)節(jié)的安全管理，構(gòu)建覆蓋全生命周期的管理機制，切實保障客戶端軟件安全。落實網(wǎng)絡(luò)安全主體責(zé)任，采取有效措施防范應(yīng)對網(wǎng)絡(luò)攻擊，保障相關(guān)系統(tǒng)平穩(wěn)安全運行。銀行、保險和證券等行業(yè)相繼出臺移動應(yīng)用安全相關(guān)標準規(guī)范，為移動金融App的信息安全建設(shè)提供標準依據(jù)。

中國互聯(lián)網(wǎng)金融協(xié)會遵照中國人民銀行等國家金融管理部門的管理要求，組織開展了移動金融App的行業(yè)自律備案工作，指導(dǎo)金融機構(gòu)加強終端安全、網(wǎng)絡(luò)安全、身份驗證、金融欺詐等方面的安全管理和風(fēng)險防范，推動提升移動金融App安全防護和抗風(fēng)險能力，持續(xù)為防范行業(yè)風(fēng)險、推動行業(yè)安全發(fā)展發(fā)揮行業(yè)自律作用。

本次移動金融App創(chuàng)新實踐典型案例入圍名單中，多個創(chuàng)新實踐案例積極開展了移動金融App安全防護創(chuàng)新工作，覆蓋安全合規(guī)、風(fēng)險監(jiān)測、反欺詐等方面，達到了可借鑒、可復(fù)制、可推廣的效果。典型案例介紹如下：

? 典型案例1：中信手機銀行零售業(yè)務(wù)鏈式反欺詐智能風(fēng)控體系實踐

當(dāng)前金融行業(yè)出現(xiàn)新型誘導(dǎo)型詐騙手段，詐騙團伙通過騙局遠程誘導(dǎo)金融消費者自行操作金融App，套取客戶資金、誘導(dǎo)客戶貸款，對金融反欺詐帶來新的挑戰(zhàn)。中信銀行整合內(nèi)外部資源，采用組織、制度和技術(shù)綜合手段，創(chuàng)新建立起以客戶為中心的零售業(yè)務(wù)鏈式反欺詐智能風(fēng)控體系，實現(xiàn)對此類欺詐事件的精準防控。主要措施有：

一是完善風(fēng)險決策內(nèi)鏈。秉持動態(tài)調(diào)整、分級管控的理念，打通多渠道、多場景、客戶賬戶層級的壁壘，結(jié)合業(yè)務(wù)安全組件的部署及應(yīng)用，實現(xiàn)跨渠道、跨業(yè)務(wù)感知客戶操作風(fēng)險，以鏈式防控代替單一場景防控。

二是建立信息共享外鏈。在保護個人信息前提下，拓展與反詐中心、騰訊和移動等機構(gòu)合作，通過聯(lián)邦學(xué)習(xí)等機器學(xué)習(xí)技術(shù)構(gòu)建誘導(dǎo)型反詐模型，補全信息鏈路，將“反詐防火墻”前置到客戶受騙的初始階段。

三是構(gòu)建風(fēng)險處置協(xié)同鏈。通過實時通報可疑欺詐交易并管控賬戶，實現(xiàn)“總行通報、分行下發(fā)、支行核實”三級快速聯(lián)動處置，并與屬地反詐中心、派出所聯(lián)動配合，力爭阻攔每一筆誘導(dǎo)欺詐交易，不僅保護客戶資金，而且增強客戶反詐意識。此外通過運營信息反饋持續(xù)優(yōu)化風(fēng)控體系，打造閉環(huán)的反欺詐運營體系。

圖：中信銀行零售業(yè)務(wù)反欺詐運營體系

自2021年5月至今，中信銀行依托應(yīng)用鏈式反欺詐智能風(fēng)控體系累計保護客戶302人，攔截資金6402萬元，取得了良好的反欺詐效果。

? 典型案例2：翼支付智能風(fēng)險監(jiān)控平臺

針對支付用戶電信詐騙風(fēng)險，天翼電子商務(wù)有限公司基于大數(shù)據(jù)計算能力、實時清洗能力、流式計算能力、決策管理平臺等底層能力，結(jié)合自研異常檢測、風(fēng)險時序、虛假證照、知識圖譜等AI技術(shù)，為反欺詐、反套利業(yè)務(wù)場景提供精準高效的風(fēng)險識別能力和實時風(fēng)險攔截能力，實現(xiàn)立體式的風(fēng)險感知、可信認證、風(fēng)險識別、智能決策和自動學(xué)習(xí)的閉環(huán)監(jiān)控。主要措施有：

一是AI全面賦能反詐，構(gòu)建反詐大腦。包括事前反詐甄別：通過自研深度學(xué)習(xí)證件鑒偽能力體系（視覺反詐RiskImage），在商戶使用翼支付App進行進件時，對資質(zhì)內(nèi)容進行反詐甄別，防范虛假賬戶實名認證問題；事中異常行為識別：對用戶行為軌跡進行時序建模（深度時序模型RiskSeq），實現(xiàn)了反詐技術(shù)從獨立多時點向時序生命周期的思考轉(zhuǎn)變。

二是“信息流+資金流”的融合反詐，發(fā)揮差異化金融反詐優(yōu)勢?；谧陨碣Y金流數(shù)據(jù)構(gòu)建了大規(guī)模領(lǐng)域知識圖譜，覆蓋充值、轉(zhuǎn)賬、消費、提現(xiàn)等主要的資金流關(guān)系，營銷活動的助力關(guān)系和推薦關(guān)系，設(shè)備登錄、IP關(guān)聯(lián)等關(guān)系場景。

三是基于“業(yè)務(wù)流+決策流”的高性能實時決策平臺建設(shè)。自研基于內(nèi)存的高性能流式?jīng)Q策編排引擎，具備高性能實時決策能力同時還支持模型人員設(shè)定資源一鍵部署各類模型（機器學(xué)習(xí)模型、深度學(xué)習(xí)模型）到生產(chǎn)環(huán)境，并且具備服務(wù)調(diào)用監(jiān)控、限流、灰度發(fā)布、橫向擴容的功能，在面向突發(fā)事件時支持免疫、熔斷等特殊場景功能。

圖：翼支付智能風(fēng)險監(jiān)控平臺自動化決策流程

翼支付智能風(fēng)險監(jiān)控平臺助力翼支付實施金融反詐，保障用戶資金安全，助力翼支付反詐運營降本增效，并實現(xiàn)規(guī)?；茝V，提升行業(yè)反詐能力，取得了良好的實踐效果。

? 典型案例3：中國建設(shè)銀行為移動金融業(yè)務(wù)“E路護航”

建設(shè)銀行移動安全風(fēng)險監(jiān)測及防護平臺，是針對含App、小程序、web等平臺的移動終端渠道，與安全防護系統(tǒng)及業(yè)務(wù)系統(tǒng)聯(lián)動，利用多數(shù)據(jù)源進行風(fēng)險挖掘分析、聚集分析及快速阻斷的智能安全防護平臺。平臺主要亮點有：

一是防御針對生物特征識別認證的攻擊。通過分析終端特征、用戶行為和異常使用數(shù)據(jù)，發(fā)現(xiàn)正在進行生物特征攻擊的風(fēng)險終端設(shè)備，有效攔截及封禁的黑產(chǎn)風(fēng)險用戶及設(shè)備。

二是防范黑客逆向及越權(quán)攻擊。通過分析軟件、操作系統(tǒng)特征、設(shè)備調(diào)試及外設(shè)特征、設(shè)備運動特征，發(fā)現(xiàn)黑客逆向分析及攻擊設(shè)備，進行情報分析及阻斷，從源頭阻斷黑產(chǎn)鏈。

三是“薅羊毛”營銷防欺詐防護。通過“薅羊毛”風(fēng)險設(shè)備識別、風(fēng)險客戶識別、風(fēng)險操作識別、團伙及社區(qū)識別，發(fā)現(xiàn)和阻斷“薅羊毛”行為。

四是黑產(chǎn)成果輸出、同業(yè)共享。在保障隱私數(shù)據(jù)安全前提下，通過監(jiān)管態(tài)勢感知共享平臺進行情報共享，將風(fēng)險分析能力進行輸出，助力提升行業(yè)風(fēng)險防范能力。

平臺自上線以來，在識別生物特征識別攻擊、黑客攻擊、薅羊毛行為等方面成效顯著，挽回了大量的客戶資金損失，實踐效果良好。

? 典型案例4：微信支付打擊電信網(wǎng)絡(luò)詐騙成果

騰訊公司整合內(nèi)部多團隊反詐技術(shù)能力打擊電信詐騙，在微信紅包、轉(zhuǎn)賬、面對面收款多場景中開展風(fēng)險挖掘、精準攔截、可疑交易分級處置，形成了一套覆蓋事前、事中、事后各環(huán)節(jié)的聚合風(fēng)控“組合拳”。主要措施包括：

一是推出微信支付“錢袋子守護計劃”。整合內(nèi)部多團隊的反詐技術(shù)能力，成立反欺詐專項，推出“錢袋子守護計劃”：（1）聚合安全服務(wù)，覆蓋從以支付為主，到支付、收款、出入資等的全支付業(yè)務(wù)場景，不斷沉淀惡意挖掘模型，實現(xiàn)從交易到賬戶、從個人到團伙、從單場景到全場景的資金風(fēng)險的深度、全方位挖掘；（2）構(gòu)建了一套支付攔截策略模型，限制惡意支付，凍結(jié)被騙資金，減少用戶損失，同時通過數(shù)據(jù)訓(xùn)練不斷優(yōu)化機器自動審核能力，持續(xù)提升審核和處置效率；（3）對欺詐的風(fēng)險程度進行綜合評估和風(fēng)險分級；（4）開展大額詐騙專項治理、青少年詐騙專項治理，對被騙青少年開展用戶關(guān)懷計劃。

二是建設(shè)“騰訊衛(wèi)士”公益性綜合安全服務(wù)平臺。平臺以開放小程序形式鏈接海量用戶，提供報案指引、防騙大講堂、經(jīng)驗分享、風(fēng)險預(yù)警等反詐服務(wù)，一站式處理微信、QQ、公眾號等騰訊全業(yè)務(wù)場景的違法違規(guī)舉報，打造全民公共治理平臺；警企合作定期開展專項治理，形成騰訊衛(wèi)士分析挖掘、安全團隊策略研判、助力警方刑事打擊的治理全鏈條，精準打擊電信詐騙行為。

三是深化反詐宣傳，強化防騙意識。（1）制作反詐主題公益宣傳片，通過微信朋友圈公益廣告、公安部刑偵局、國家反詐中心等多個渠道投放宣傳；（2）聯(lián)合微信支付、微信安全中心、QQ、騰訊衛(wèi)士、騰訊手機管家等多渠道上線反詐專區(qū)。反詐宣傳總觸達用戶量超17億人次。

借助以上綜合措施，微信支付在打擊電信網(wǎng)絡(luò)詐騙方面取得了扎實成效，有力保護了用戶資金安全，并促進了全民反詐意識的提升，實踐效果良好。

? 典型案例5：交通銀行買單吧在安全防護領(lǐng)域的應(yīng)用實踐

交通銀行在買單吧App建設(shè)中把信息安全放在首要位置，按照監(jiān)管要求持續(xù)強化App全生命周期安全管理，不斷提升信息安全水平，形成了多維立體的五層安全防護體系。

圖：買單吧App立體安全防護體系

在終端安全層面，交通銀行對終端進行安全加固，防止二次打包、重簽名、惡意反編譯和代碼分析調(diào)試，并實時監(jiān)測和告警運行環(huán)境風(fēng)險，保護App運行環(huán)境的安全。在業(yè)務(wù)安全層面，引入安全鍵盤技術(shù)，防截屏、錄屏以及屏幕共享等多項校驗手段，進行應(yīng)用安全防護；對高風(fēng)險業(yè)務(wù)場景，增加數(shù)字證書、人臉識別等驗證手段。在網(wǎng)關(guān)防護層面，規(guī)范對接標準，增加API授權(quán)認證機制，實施防重放功能，防止短期內(nèi)大量惡意重放攻擊。在數(shù)據(jù)安全層面，實現(xiàn)數(shù)據(jù)防篡改、數(shù)據(jù)加密、密鑰安全交換，并通過國密算法進行統(tǒng)一的數(shù)據(jù)加解密。在通信安全層面，采用Https/SSL的標準安全協(xié)議進行數(shù)據(jù)傳輸，保護信道安全。

交通銀行制定第三方軟件安全管理規(guī)范，建立統(tǒng)一標準的引入流程，嚴格規(guī)范第三方軟件的引入。對提供方、引入方、安全管理方、運行維護方、配置管理方等都提出安全管理要求。尤其對于引入的各類SDK，要求具備安全抗破解能力，滿足用戶隱私政策等監(jiān)管要求，以及兼容性和安全性等相關(guān)標準。要求提供方在提供和更新SDK前提供有效測試評估報告。對SDK在個人信息采集和用戶權(quán)限申請方面，要求做到符合隱私要求和數(shù)據(jù)上送要求。同時通過第三方安全檢測確保SDK的安全性及隱私合規(guī)性。

買單吧結(jié)合FIDO技術(shù)建立指紋登錄，采用移動身份認證與生物特征識別相結(jié)合，通過App內(nèi)置的指紋識別功能，做到指紋認證。在App內(nèi)集成FDIO SDK，通過FIDO SDK結(jié)合硬件設(shè)備內(nèi)嵌的安全芯片，完成消息加密和身份鑒別流程，安全級別遠遠高于傳統(tǒng)安全認證方式。

此外，買單吧不定期進行掃描滲透測試，進行漏洞評估、行為監(jiān)控和深度分析等多維度安全評測。檢測評估常態(tài)化，建立并不斷完善安全測試、評估規(guī)范和機制，逐步形成規(guī)范化的安全測試和評估體系。

? 典型案例6：北京銀行“京行企業(yè)銀行”App健全移動金融安全體系

1. 移動客戶端安全性

“京行企業(yè)銀行”App客戶端采用業(yè)界領(lǐng)先的加固技術(shù)，獲得CNCERT認證，實現(xiàn)反編譯與反匯編保護、客戶端防篡改保護、客戶端防注入保護、客戶端反調(diào)試保護、客戶端本地數(shù)據(jù)與資源文件加密保護、SO庫綁定保護、運行時環(huán)境檢測技術(shù)等，有效提升App運行安全。

同時應(yīng)用代碼混淆工具，采用主流編譯器技術(shù)，通過控制流扁平化、虛假控制流、控制流間接化、等效轉(zhuǎn)換指令、字符串加密、分裂基本塊等混淆方式，實現(xiàn)IPA混淆保護功能，強化移動金融的安全環(huán)境。

在客戶端SDK的管理上，采用移動安全服務(wù)和技術(shù)的綜合安全解決方案，涵蓋病毒掃描、網(wǎng)址檢測、短信攔截、號碼識別、垃圾清理、流量校準、偽基站、WiFi檢測等功能，能全方位消除移動風(fēng)險，深度保障用戶的安全體驗。

在客戶端加密保護方面，采用國家密碼局制定的標準國產(chǎn)密碼算法，對App數(shù)據(jù)進行加密傳輸，在應(yīng)用方面具有較高的安全性，在技術(shù)方面具有高度保密性，有效保障金融數(shù)據(jù)的信息安全。

2. 移動支付安全性

北京銀行始終關(guān)注移動金融的安全性，與權(quán)威數(shù)字認證機構(gòu)合作，采用密碼盾物理加密設(shè)備與手機盾軟證書相結(jié)合的方式，能夠兼顧企業(yè)日常小額高頻結(jié)算、大額資金安全結(jié)算等需求，在支付安全性與支付便捷性尋求平衡點。

密碼盾主要解決大額低頻結(jié)算，采用藍牙KEY的數(shù)字證書存儲方式，通過藍牙將密碼盾與移動設(shè)備連接，實現(xiàn)用戶身份識別和數(shù)字認證的交互過程，保障移動端支付安全，是現(xiàn)階段最優(yōu)的移動支付安全認證策略。

手機盾解決小額高頻結(jié)算，應(yīng)用TEE+SE和密鑰分散、協(xié)同簽名等移動終端數(shù)字證書技術(shù)，基于可信任執(zhí)行環(huán)境（TEE）與安全模塊（SE）相結(jié)合的應(yīng)用技術(shù)，克服硬件設(shè)備在移動端安全部署的弊端，擺脫物理硬件困擾，保證數(shù)字證書私鑰的使用安全和用戶使用環(huán)境的可信性，提升移動端支付安全認證效率。

本文轉(zhuǎn)載目的在于知識分享，版權(quán)歸原作者和原刊所有。如有侵權(quán)，請及時聯(lián)系我們刪除。