移动金融应用安全白皮书（2019年）_62页_3mb

移动金融应用安全白皮书（2019年）总结

核心内容

《移动金融应用安全白皮书（2019年）》由中国信息通信研究院云计算与大数据研究所和安全研究所联合发布，旨在全面梳理移动金融应用的安全现状、风险及应对策略。白皮书指出，随着移动互联网的快速发展，移动金融应用已成为金融行业的重要组成部分，其安全问题日益突出，亟需加强监管和技术防护。

主要观点

1. 移动金融应用发展迅猛：2018年全球移动应用下载量达1940亿，我国下载量占比近50%，成为全球最大的移动应用市场。移动金融应用涵盖银行、证券、保险等传统金融业务，以及移动互联网借贷、理财等新兴业务，为用户提供便捷、高效的金融服务。

2. 安全风险显著上升：

   • 高危漏洞：73.23%的金融App存在安全漏洞，70.22%存在高危漏洞，平均每款App存在20.3个漏洞，其中6.7个为高危漏洞。
   • 恶意程序：8217款金融App被检测出含有恶意程序，感染率为6.16%。恶意程序主要涉及隐私数据收集、恶意扣费、流量资源消耗和广告推送。
   • SDK引入风险：超过60%的SDK存在多种漏洞，部分App嵌入多个SDK，增加安全隐患。
   • 违规索权：部分App存在超范围获取敏感权限的问题，如读取手机状态、修改外置存储等，且未明确说明收集信息的用途。
   • 安全加固不足：仅17.08%的金融App进行过安全加固，且借贷类App加固比例较低，安全意识有待提升。

3. 监管政策趋严：

   • 《网络安全法》及《等保2.0》等法规对App隐私保护和数据安全提出了更高要求。
   • 多项政策和标准推动App合规检测能力的建设，如《App违法违规收集使用个人信息自评估指南》和《个人信息安全规范》。

4. 安全建设新思路：

   • 强调以移动金融应用安全为核心的整体设计。
   • 建设符合监管要求的合规检测能力，包括个人信息安全检测和恶意行为检测。
   • 推动全生命周期安全防护策略，涵盖事前、事中、事后三个阶段。
   • 倡导主动风险感知替代被动响应的防御思维，利用设备指纹、生物探针、网络环境监控等技术提升安全防护能力。

关键信息

移动金融App分布情况

• 地域分布不均：广东、湖北、北京是金融App数量前三的省份，占比分别为29.60%、21.30%、12.96%。
• 应用市场集中度高：59.03%的金融App集中在应用宝、5577、百度手机助手等排名前十的应用市场。
• 细分领域占比：
  • 消费金融类App占比最高，为36.74%。
  • 彩票类App排名第二，占比27.19%。
  • P2P金融类App占比11.38%。
  • 外汇类App加固比例最高，达43.83%，银行类和证券类App次之。

移动金融App安全风险

• 高危漏洞：动态注册Receiver和Web View远程代码执行漏洞占比最高。
• 恶意程序：主要涉及隐私数据收集、恶意扣费、流量消耗、广告推送等。
• SDK安全风险：第三方SDK常存在漏洞、恶意程序和隐蔽收集个人信息的问题。
• 违规索权：部分App存在超范围获取权限、未提供单独隐私政策、未说明信息用途、注销流程繁琐等问题。
• 安全加固不足：仅17.08%的金融App进行过安全加固，借贷类App加固比例最低，为10.41%。

安全建设与创新思路

• 整体设计：应建立协同的安全防护体系，涵盖程序安全、数据安全和认证安全。
• 合规检测能力：加强个人信息合规检测和恶意行为检测，提升App的合规性。
• 全生命周期防护：包括事前预防、事中决策和事后分析，实现多层次、多维度防护。
• 主动风险感知：通过设备指纹、生物探针、网络环境监控等技术，主动识别和防范风险。
• 安全技术趋势：感知技术升级，推动安全业务智能创新，结合大数据和AI技术实现主动防御。

附录关键数据

• 附录A：金融行业App地域分布表，显示广东、湖北、北京为App数量前三的省份。
• 附录B：金融行业App分类逻辑及典型应用，涵盖消费金融、彩票、投资理财、P2P金融、证券、财务管理、股票、保险、银行、数字货币、外汇、互联网第三方支付、信托等。
• 附录C：Top10高危漏洞说明，包括Janus漏洞、Web View远程代码执行漏洞等。
• 附录D：App恶意程序类型解释，包括流氓行为、信息窃取、恶意传播等。
• 附录E：受到恶意程序感染的App地域分布表，江苏、广东、北京感染率最高。

前景展望

• 政策与基础设施安全并重：随着《等保2.0》和《密码法》的实施，移动金融安全将与基础设施安全协同发展。
• 合规升级推动市场发展：隐私数据安全市场迅速升温，合规测评和隐私数据加固成为热点。
• 感知技术驱动智能安全：未来将更多采用感知技术，实现主动防御，提升安全业务智能化水平。

通过本白皮书，可以全面了解移动金融应用的安全现状、挑战及未来发展方向，为金融机构和开发者提供重要的安全指导。