📖 ZKIZ Archives

國際銀行安全系統自曝遭黑客攻擊 全球監管機構疾呼加強銀行安全

環球銀行金融電信協會(SWIFT)披露，自2月份孟加拉國央行被盜8100萬美元以來，其成員行再度遭到一系列黑客攻擊，該協會也因此繼續向成員行施壓，要求各行推行安全措施。

該協會在致客戶的一封信中透露，自孟加拉銀行遭竊以來，網絡竊賊可能加緊了攻勢，尤其是針對那些接入SWIFT系統但安全措施寬松的銀行。

SWIFT在信中透露，又有一些銀行或機構在新一輪網絡襲擊中蒙受經濟損失，但沒有披露具體金額，以及哪些銀行遭到攻擊，只表示受攻擊的銀行分布於不同地區，規模不等，接入SWIFT的方式也各不相同。

SWIFT發言人拒絕就信中所涉內容作進一步展開。

SWIFT總部位於比利時布魯塞爾，是一家由金融機構共同擁有的私營股份公司，由會員銀行和其他金融機構協同管理。截止到2010年9月為止，SWIFT的服務已經遍及209個國家和地區，接入的金融機構超過9000家。平均每日傳送電文1500多萬條。

其電文格式已成為國際銀行間數據交換的標準語言。在電匯時，匯出行按照收款行的SWIFT代碼向其發送付款電文，就可將款項匯至收款行。該代碼相當於各個銀行的身份證號。

銀行安全防護薄弱

所有受到攻擊的銀行都有一個共同點，即存在本地安全漏洞。黑客就是利用這些漏洞攻陷了銀行的本地網絡，並發出了請求轉賬的虛假電文。

名義上，SWIFT是一個高度安全的專用網絡，很多銀行通過設置，只允許特定交易方之間進行特定交易，因此是很難從外部打入的。但如果黑客侵入銀行的本地系統，這一層保護就形同虛設了。

今年2月，孟加拉銀行遭黑客入侵，差點被轉走10億美元。只因黑客在交易訂單中拼錯了一個單詞，被作為代理行的德意誌銀行發現。德意誌銀行因向孟加拉國方面求證，才導致交易被終止。但此時，黑客已經成功轉走了8100萬美元。

據孟加拉國警方透露，該國央行沒有設立防火墻，網絡連接用的是一部10美元的二手交換機。而黑客正是利用薄弱的安全措施，侵入該行的計算機，攻陷了用於支付的SWIFT軟件，並用來發送大額的SWIFT轉賬請求，而且沒有在孟加拉國留下任何蛛絲馬跡，就把錢匯往了世界其他地區。

事件發生後，孟加拉銀行行長拉曼(Atiur Rahman)引咎辭職。

類似事件還有很多，去年，厄瓜多爾的一家銀行遭到黑客襲擊，被竊走1200萬美元;越南先鋒銀行也在當年遭到攻擊，所幸未曾蒙受經濟損失。

網絡安全亟待加強

面對這一形勢，SWIFT逐步推出了多項安全措施，並反複敦促各成員行加以實施。這些措施包括鞏固用戶身份驗證系統，以及更新電文收發軟件。但作為一家非營利性質的協作機構，SWIFT無權對成員行實施監管，故這些措施的推行步履維艱。

SWIFT為成員行設置了一個最終期限，即在11月19日前安裝它的最新版軟件，其中包含專門針對近期攻擊的最新安全功能，包括使用技術手段，對接入銀行SWIFT系統的用戶身份加以驗證;對密碼設置實行更加嚴格的規定;改進工具，以更好地偵測潛在的攻擊行為。

SWIFT稱，若銀行拒不執行，它可能向監管機構和銀行業合作夥伴報告相關信息。

由於這類信息會對市場信心造成打擊，所以無論哪家銀行都不願在自己未曾批準或參與的情況下，讓信息公之於眾。央行安全問題獨立顧問舒克(Shane Shook)說，SWIFT正是想以公開這方面的機密信息作為要挾，迫使成員行將網絡安全擺在頭等重要的位置。

全球各地的監管機構也都敦促銀行增強安全防線。

4月份，英格蘭銀行下令，要求英國企業界詳細上報為加強SWIFT系統安全性采取的措施。5月，歐洲銀行業管理局表示，各國當局應對銀行展開網絡安全方面的壓力測試。

6月，美聯儲等機構呼籲美國銀行審核相關保護措施，提防虛假轉賬請求。

近日，6名美國參議員呼籲，20國集團在本周末於中國杭州召開峰會時，應著力商討針對重要金融機構的網絡犯罪問題，並達成協同一致的應對策略。