江苏龙网

  1. 首页 > 资讯 > >

「杨力」为何我的股票被清仓了？( 二 )


极棒实验室高级研究员宋宇昊告诉《IT时报》采访人员 ， 如果出现大批量用户信息泄露情况 ， 常见的方式有拖库和撞库两种 。
拖库指的是攻击者通过厂商服务端的漏洞 ， 访问到数据库 ， 批量地下载获取数据库中的信息 。
撞库是利用以往从其他渠道泄露的大批量用户名密码信息 ， 尝试登录目标厂商的服务 。
为此 ， 采访人员联系一家身份安全与信息整合技术的提供商派拉软件 ， 对方表示 ， 从目前事情发展方向和网上部分信息推测 ， 这起事件撞库的可能性更大 。
《IT时报》采访人员联系到多位股民信息卖家 ， 一条用户信息售价在0.1元-0.3元 ， 而实时数据售价为0.6元一条 。
「杨力」为何我的股票被清仓了？
本文插图

「杨力」为何我的股票被清仓了？
本文插图

当问及数据来源时 ， “技术渗透”成为标准答案 ， 但对具体操作方式避而不谈 。
浙江大学网络空间安全学院百人计划研究员、博导周亚金表示 ， 黑产可能通过收买券商、第三方平台相关人员而获得用户的明文数据 。
不过 ， 对于股民数据泄露问题 ， 同花顺方面表示 ， 目前没有发现同花顺账户被盗 ， 也没有证据和有关部门认定同花顺账户被盗 。
“同花顺有完善的安全机制 ， 能有效防范不法分子的犯罪活动 ， 确保用户的安全 。 ”其称 。
03
交易快捷背后
没有异常登陆预警和交易密码验证
事件过后 ， 炒股App快捷登录背后的安全盲点开始被关注 。
股民林董（化名）沉浮股市十多年 ， 同花顺是他首选的炒股软件 。 “同花顺操作很方便 ， 不像有些券商App需要输入短信验证码 。 ”
「杨力」为何我的股票被清仓了？
本文插图

一些券商App需要输入短信验证码才能登录
在他看来 ， 股市变幻莫测 ， 省下时间意味着更多赚钱的机会 。
《IT时报》采访人员测试发现 ， 如果已绑定券商账户 ， 登录同花顺便能直接进入交易 。
「杨力」为何我的股票被清仓了？
本文插图

直接登录券商账号进行交易
在周亚金看来 ， 券商和同花顺大概率打通了后台 ， 能将同花顺用户映射到券商实际用户群中 ， 由两者后台自动完成 。
佣金宝是一款由国金证券和腾讯合作的股票交易App ， 有用户表示 ， 如果已保存登录账户和密码 ， 这款App能秒登录秒交易 ， 同样没有验证过程 。
「杨力」为何我的股票被清仓了？
本文插图

支持同花顺app秒登录 ， 没有验证过程
现在 ， 情况正在发生改变 。
日前 ， 东兴证券、华福证券等多家券商发布风险提示公告 ， 提醒用户定期修改密码 。
国金证券直接点明 ， 交易软件有“交易保持在线”选项 ， 一旦用户勾选 ， 在相应时间内免密再次登录 ， 可能存在很大隐患 。
为了保证账户安全 ， 支付宝、微信、银行类App在异地登录或者新设备登录时 ， 都需要输入验证码 ， 这本是阻挡用户账户被非常侵入的一把锁 。
然而相似的情况发生在同花顺及部分券商App上 ， 之前并没有这样的措施 。 只是 ， 账户登陆异常情况发生后 ， 王欢和陈林始终未收到预警信息 。
4月15日 ， 王欢发现同花顺App上增加新设备登录需要输入手机验证码功能 。 此时距离事件发生已过去近2周 。
如果当时同花顺App有这一选项 ， 一切是否会变得不同？
痛过之后 ， 另一种反思在交易上 。
如果通过支付宝、银行等App进行转账时 ， 用户还需要验证生物信息或交易密码 。
「杨力」为何我的股票被清仓了？
本文插图

但是采访人员发现 ， 同花顺和多款券商App在交易过程中没有交易密码验证的步骤 。
这也是为什么事件发生后 ， 王欢和杨力会产生是否不小心点击“一键清仓”选项的错觉 。
那么 ， 为何同为金融App ， 在相同情况下券商及第三方炒股App对密码验证的要求比银行类App低？
上海市信息安全行业协会专家委员会副主任张威直言 ， 金融机构的支付系统直接涉及资金 ， 安全等级要求最高 ， 而券商的交易资金托管于银行账户 ， 实际不产生金融支付 ， 因此安全等级相对较低 。
“现行法规虽然有对数据安全保护有要求 ， 但不会细致到支付密码及异常预警这一步 ， 因此在设计App时不同券商对安全策略和实际应用间有着不同的考量 。 ”周亚金说 。
如果回归事件起点 ， 同花顺及关联券商能靠近银行App对数据安全保护的要求 ， 或许用户账户被非法交易的行为能避免 。
对于App而言 ， 启动异地登陆、新设备登陆预警 ， 新增登陆验证码和交易密码功能 ， 这并不难 。
04
数据安全困境仍存 缺少标志性判例


推荐阅读


上一篇：『』冰点下的突围

下一篇：#每日桂林#社会丨桂林一公路屡发“灵异”事件！司机路过时均后怕不已！