首页 > 梆梆资讯 > 金融行业小程序生态,安全准备好了么?

金融行业小程序生态,安全准备好了么?

2020-09-02 梆梆观点409

小程序应用正当时

随着移动互联网的进一步发展,“超级APP+小程序”成为移动互联网时代开发者探索的新模式。以微信、支付宝、百度、美团等移动应用程序(以下简称“APP”)为代表的平台,在其应用中搭载第三方小程序,丰富了向用户提供服务的形式和内容。

随着微信小程序市场的持续拓展,用户规模和渗透率的逐渐提升,各大银行也纷纷开发了专属的小程序作为连通用户的重要渠道,来实现丰富的移动金融服务。一些规模较大的银行,如招商银行、工商银行基于各自的手机银行APP,围绕“网点+场景”建立了行方的小程序应用及小程序开发平台,形成了自己的技术生态,小程序已经成为当前金融科技的重要应用场景。


小程序虽好,但有安全风险

小程序面向海量的用户,数据交互跨越金融机构和第三方平台,这就导致了其所面临的攻击面和影响面都被放大。小程序承载的金融数据、个人信息数据更是时刻遭受不法黑客、灰产的攻击威胁。根据梆梆安全的分析研究,金融行业小程序应用安全风险主要来自于如下几个方面:

1、数据风险

小程序应用场景中,很多业务都会涉及到敏感数据输入、数据存储和数据传输,分别面临如下风险:

小程序面临的安全风险

2、合规风险

国家高度重视APP客户端安全,从法规标准、专项治理等多方面开展安全治理,例如JR/T 0092、JR/T 0171等。但小程序作为一个新兴事物,其安全级别是否达标、个人信息保护是否合规,目前都缺乏专门的标准。从之前证券类、基金类小程序被监管强行下线交易功能的案例可以看出,未来一段时间内,金融机构仍然会长期面临合规监管的风险。

3、集成风险

银行开发的小程序应用,需要集成到微信/支付宝等平台上,小程序代码的核心是JS代码,容易被第三方拿到,造成程序源文件泄露,业务逻辑被人分析,如果存在漏洞的话,则可造成较严重的后果。

4、运维风险

微信小程序开发完成上线之后,恶意开发者可通过逆向等方式来窃取核心代码,仿冒伪造小程序。尤其是一些流行的小程序APP,攻击者制作一个仿冒的微信小程序,绕过微信的审核监管流程发布到市场。小白用户如无辨识能力,极可能遭受到钓鱼受骗。根据梆梆安全威胁情报中心监测数据显示,某地方省农信单位相关联的小程序有35个,而近一年未更新的小程序数量占比高达89%,其中超过60%是金融服务类应用。这些未更新的小程序,很有可能是已经无人维护了,或者是仿冒小程序,容易被不法分子加以利用。 

某省级农信单位小程序现状 

5、业务风险

尽管依托微信、支付宝等平台,小程序具有天然的安全保护能力。但不当的开发依然会导致接口数据泄露等隐患,容易带来恶意信息爬取风险。此外,不法分子利用小程序进行作弊欺诈、薅羊毛、篡改业务数据等行为,也会给企业的业务安全带来了严重的威胁。尤其是在今年疫情期间,各种小程序应用,如生活服务类、政务信息类、金融服务类等数字化服务全面开花,给民众生活带来了便利性的同时,也增添了个人信息泄露、交易信息遭受攻击的风险。


5个步骤保障金融行业小程序安全

基于上述小程序存在的风险分析可以预料,金融监管要求日趋严格,各种网络攻击浪潮呈上升势头。因此,金融机构在开发银行小程序业务时,就必须在程序设计、开发、集成、运营等环节,提供切实有效且满足政策法规要求的解决方案。

基于多年来对移动APP安全技术和监管政策的研究,梆梆安全认为,金融机构需要从数据安全合规安全集成安全运维安全业务安全等5个维度出发,构建自身的小程序安全防护体系。

1、小程序数据安全防护

数据输入安全梆梆安全可提供小程序安全软键盘,保护用户的账号、密码、卡号、手机号、身份证号等敏感信息安全。梆梆安全软键盘支持SM2、SM4国密算法,保护用户基于小程序JS页面的输入操作、通信过程的数据安全,防止攻击者非法窃取。

数据存储和传输安全梆梆安全提供JS密钥白盒,对小程序业务中所产生的敏感数据做加密,保证本地存储以及通信传输过程中的核心数据的安全性,避免被攻击者或者小程序平台第三方获取到敏感的明文数据。

梆梆安全白盒密钥方案

2、小程序合规安全

现阶段,对金融行业而言,小程序应用还处于发展阶段,相对网上银行、移动APP较新。这也意味着,业内尚未有相关标准、规范可以借鉴。近期,中国人民银行237号文《移动金融客户端应用软件安全管理规范》、《JR/T 0171 2020-个人金融信息保护技术规范》和《信息安全技术网络安全等级保护基本要求》中,分别明确规定了不同类型的软件,包括资金交易类、信息采集类、资讯查询类等,都应该符合相应的安全管理要求,要求各机构的应用开发符合安全设计要求、提供风险监控能力、保护个人金融信息。梆梆安全可提供小程序安全合规咨询服务,针对金融机构线上业务相关的一系列信息安全技术、管理、业务、个人信息保护等合规规定,给出专业的咨询建议和整改方案。

合规咨询服务

此外,梆梆还可提供小程序合规安全评估服务,通过人工+自动化相结合的方式,帮助金融机构快速出具合规安全评估报告,覆盖小程序代码安全、Web漏洞、服务器漏洞、业务安全漏洞以及小程序特有安全规范,提供漏洞定位和修复建议,帮助开发者复查和修复漏洞。3、小程序集成安全

梆梆安全可提供小程序安全加固服务,对小程序应用中的核心JS交互逻辑代码提供代码混淆、字符串加密、防调试保护、VMP虚拟化保护,大大提高攻击者分析小程序前端代码逻辑的难度,保障小程序开发完成上线集成阶段的代码自身安全性。4、小程序运维安全梆梆安全可提供全面的移动金融盗版、仿冒监测服务,监测对象覆盖Web网站、移动App、微信公众号和微信小程序,协助金融机构处理自身移动金融应用所遭受的恶意侵权、碰瓷等违规行为 

移动运维监测

5、业务安全

梆梆安全基于自身的H5智能安全分析平台,可向金融机构提供小程序业务安全防护能力。结合移动威胁感知平台,可为金融机构提供覆盖APP、H5、Web、小程序的全渠道安全监控,有效抵御薅羊毛、虚假注册、数据API接口爬取、撞库及暴力破解等业务安全问题。此外,梆梆安全还可针对更具体的单点业务场景进行详细分析,如二维码支付,小程序账户登录等,梳理小程序在业务流程、程序设计、上线部署、运行维护等环节中存在的安全隐患,向金融机构提供针对性的安全解决方案。



随着移动互联网的飞速发展,银行业已经进入智能化、数字化的新时代。网上银行、移动客户端、公众号、小程序相继成为各个银行实现数字化转型的重要载体。小程序凭借开发门槛低、上线速度快、平台覆盖率高等特点,已经成为现阶段银行服务用户的重要移动渠道。伴随而来的小程序应用安全风险,也威胁到金融机构企业以及广大用户的金融信息安全和财产安全。梆梆安全小程序安全解决方案,分别从数据保护合规集成运维业务安全5大维度出发,覆盖小程序应用的开发设计、测试、上线、运营各个阶段,在保障小程序快速功能迭代和上线的同时,为金融机构的小程序应用稳定安全运行,打造了一套覆盖“事前、事中、事后”的纵深防御体系。


  • 渠道商申请
  • 真诚期待各位合作伙伴加盟,同梆梆安全一起塑造辉煌
  • 立即申请 > >
  • 服务热线
  • 在使用过程中遇到的任何问题,请随时联系梆梆安全客服人员,我们将第一时间为您解答
  • 4008-881-881
  • 在线反馈
  • 用心聆听用户声音,您的建议、评价、吐槽,是我们产品前进的动力
  • 我要反馈 > >
  • 帮助中心
  • 为您提供产品描述、功能介绍、使用方法、常见问题解答等内容,便于快速了解梆梆各项产品服务
  • 点击前往 > >