信通院-移动金融应用安全白皮书（2019年）-2019.10-62页_2mb

移动金融应用安全白皮书（2019年）总结

核心内容

本白皮书由中国信息通信研究院云计算与大数据研究所和安全研究所发布，聚焦于移动金融应用的安全现状、分布情况、面临的安全风险及应对策略。白皮书旨在提升移动金融应用的安全防护能力，保障用户金融信息安全。

主要观点

1. 移动互联网快速发展：移动金融应用已成为金融行业的重要组成部分，随着移动互联网技术的不断进步，移动金融应用在提升效率和用户体验方面发挥着关键作用。
2. 安全监管趋严：政府和行业主管部门加强了对移动金融应用的监管，出台了多项法律法规和标准规范，如《网络安全法》和《等保2.0》，以保障用户隐私和数据安全。
3. 5G推动移动金融发展：5G技术的普及将为移动金融带来新的应用场景和更高的实时性，但也带来了更大的安全挑战，需要金融机构加强风险管理。
4. 安全风险突出：移动金融应用面临多种安全风险，包括数据泄露、恶意程序、SDK安全、违规索权和安全加固不足。
5. 安全创新思路：提出以移动金融应用安全为核心的整体设计、建设合规检测能力、全生命周期安全防护策略及主动风险感知的防御思维。

关键信息

一、移动金融应用的安全背景

• 移动互联网高速发展：截至2019年6月，我国网民规模达8.54亿，手机网民占比达99.1%。移动互联网服务场景不断丰富，推动移动金融应用发展。
• 移动应用监管政策日趋严格：2017年6月，中国人民银行发布《中国金融业信息技术“十三五”发展规划》，2019年8月发布《金融科技(FinTech)发展规划(2019-2021年)》，进一步加强了对移动金融应用的监管。
• 等保2.0对移动金融应用提出新要求：等保2.0对移动终端、应用和无线网络提出特殊安全要求，以提升整体网络安全保护能力。
• 个人信息安全成为监管重点：《网络安全法》和《个人信息安全规范》对个人信息的收集、使用和存储提出了明确要求。

二、移动金融应用的分布情况

• 地域分布不均：广东、湖北和北京是移动金融应用生成最多的省份，分别占29.60%、21.30%和12.96%。西藏、青海等省份应用数量极少。
• 应用市场集中度高：59.03%的金融行业App集中在应用宝、5577、百度手机助手等排名前十的应用市场。
• 借贷类App占据半数市场：消费金融类App数量最多，占36.74%；彩票类App占27.19%；P2P金融类App占11.38%。
• 银行类App分布广泛：广东省以423款App排名第一，北京市和湖北省紧随其后，分别占10.54%和8.38%。

三、移动金融应用的安全风险

• 高危漏洞风险：73.23%的金融行业App存在安全漏洞，其中70.22%存在高危漏洞，平均每款App存在20.3个漏洞，其中6.7个为高危漏洞。
• 恶意程序风险：8217款金融行业App被检测出含有恶意程序，感染率为6.16%。恶意程序类型包括隐私数据收集、恶意扣费、流量消耗和广告推送。
• 第三方SDK安全风险：27300款金融行业App嵌入第三方SDK，占比20.48%。部分SDK存在漏洞、恶意程序和隐蔽收集个人信息等问题。
• 违规索权风险：部分App存在超范围获取敏感权限和未明确说明收集信息用途的问题，导致用户隐私泄露。
• 安全加固不足：仅17.08%的金融行业App进行过安全加固，其中借贷类App加固比例相对偏低，消费金融类和P2P金融类App分别为10.41%和13.33%。

四、移动金融应用安全创新思路

• 以安全为核心的整体设计：应建立协同的安全防护体系，涵盖程序安全、数据安全和认证安全，实现对App全生命周期的保护。
• 合规检测能力：建设符合监管要求的合规检测能力，包括个人信息安全检测和恶意行为检测，以保障用户隐私和数据安全。
• 全生命周期安全防护策略：分为事前、事中和事后三个阶段，分别采取加固、实时监控和数据分析等手段。
• 主动风险感知：采用设备指纹、环境风险感知、账号风险感知和行为风险感知等技术，实现对风险的主动识别和响应。

五、移动金融应用安全前景展望

• 安全政策频出：随着《等保2.0》和《密码法》的实施，移动金融应用安全和基础设施安全将协同发展。
• 合规升级合法：监管加强推动隐私数据安全市场发展，安全厂商推出相关产品以满足合规需求。
• 感知技术升级：通过大数据分析和感知技术，实现对移动金融应用安全状态的智能判断和精确响应，推动安全业务创新。

总结

移动金融应用在提升金融服务效率和用户体验方面具有重要作用，但同时也面临数据泄露、恶意程序、第三方SDK安全、违规索权和加固不足等多重安全风险。随着移动互联网和5G技术的发展，安全挑战日益加剧，需要金融机构加强合规检测和安全加固，构建全生命周期安全防护体系，采用主动风险感知技术，以保障用户隐私和数据安全。未来，移动金融应用安全将与基础设施安全并重，通过政策引导和技术创新，实现更安全、更智能的金融服务。