黑客可借漏洞攻击手机银行客户端

安卓系统安全问题一直以来被业界所诟病。360手机安全中心近日发布的《2014年第二期中国移动支付安全报告》(以下简称《报告》)指出，安卓手机系统漏洞严重威胁网民支付安全。利用安卓系统漏洞，黑客可以对手机银行客户端实施注入攻击，截获用户银行账号密码，造成财产损失。在360进行测试的16款手机银行客户端均未能防御此类攻击。

据中国互联网络信息中心(CNNIC)的数据显示，由于中国手机支付用户规模成倍增长(同比增长126.9%)，截止2013年12月已达1.25亿，移动支付成为大趋势。而伴随这一趋势产生的移动支付安全问题也“水涨船高”。近年来，由于遭受木马、恶意插件等恶意程序入侵导致的网银、支付账户被盗案件频频发生，网民移动支付安全受到严重威胁。

为了检验手机银行客户端的安全性，本次报告针对当前世面上最流行的16家银行的手机银行客户端应用进行了一次全面的安全性测评。结果显示，在防范进程注入测试(利用安卓系统漏洞对应用恶意注入)中，所有16款手机银行客户端的表现不佳，没有任何一款银行客户端能够对这类攻击进行防护。

“相比于单个应用程序的漏洞，安卓系统和Linux内核的漏洞往往影响更加广泛，恶意程序利用内核漏洞可以攻击不同厂商生产的多种机型。”安全专家指出，恶意程序的制作者往往倾向于使用系统内核漏洞进行攻击。但实际上，对开源的安卓系统而言，由手机厂商在源码基础上再开发所引入的漏洞往往更多。

根据360手机安全中心在2013年的一项研究显示，70%的手机安全漏洞是由厂商定制所引起的。一些中小手机厂商对此并不重视，甚至没有能力修补自身系统中存在的安全漏洞。

由于这些漏洞得不到及时修复，木马程序有机会借助这些漏洞提升root权限，完成对银行客户端的注入。一旦木马注入到客户端进程中，将可轻而易举的获取用户账号和密码，造成网民银行账户信息泄漏和直接财产损失。

业内专家认为，手机支付安全需要银行方面与专业的手机安全厂商合作解决。首先强化手机银行客户端自身，通过360加固宝等服务让应用具备抵御盗版和篡改的能力。同时借助360手机卫士等手机安全软件，修复系统高危漏洞，同时监测支付环境是否安全，协同作战，是保护移动支付安全的最佳选择。