農(nóng)行建行均否認(rèn)ATM存安全漏洞

每經(jīng)編輯 每經(jīng)記者 李玉敏 發(fā)自北京    

每經(jīng)記者 李玉敏 發(fā)自北京

近日，瑞星官方網(wǎng)站發(fā)布消息稱：“2月21日，建設(shè)銀行、農(nóng)業(yè)銀行的ATM（網(wǎng)銀自助服務(wù)機(jī)）曝出安全漏洞，可被黑客利用來(lái)侵入銀行內(nèi)網(wǎng)，套取用戶資料和金錢等。目前該漏洞已經(jīng)被銀行確認(rèn)，正在積極處理中。”

2月22日，農(nóng)行和建行都向《每日經(jīng)濟(jì)新聞》記者否認(rèn)了此消息。

瑞星：對(duì)其真實(shí)性做過(guò)驗(yàn)證

瑞星表示，目前很多ATM采用的都是Windows系統(tǒng)，此次出現(xiàn)漏洞的兩家銀行ATM均是基于WindowsXP的。雖然出問(wèn)題的ATM機(jī)屏蔽了Windows操作系統(tǒng)的快捷鍵、組合鍵、鼠標(biāo)右鍵，并保持自身程序始終置于前段和全屏，但是在“網(wǎng)銀登陸”頁(yè)面使用usbkey時(shí)可以繞過(guò)限制系統(tǒng)去訪問(wèn)Windows系統(tǒng)磁盤及運(yùn)行文件。

“黑客趁機(jī)可能通過(guò)對(duì)ATM植入木馬去盜竊訪問(wèn)該終端的賬戶信息；另外某些網(wǎng)點(diǎn)的ATM可以訪問(wèn)內(nèi)部網(wǎng)絡(luò)，利用漏洞可獲取本機(jī)管理員權(quán)限，再利用本機(jī)權(quán)限去對(duì)內(nèi)網(wǎng)進(jìn)行滲透攻擊。”瑞星表示，黑客一旦取得ATM本地文件夾的瀏覽權(quán)限，便會(huì)通過(guò)提升權(quán)限的操作獲得最高系統(tǒng)管理員權(quán)限，進(jìn)而在機(jī)器上搞破壞，諸如植入木馬、記錄用戶姓名、密碼、手機(jī)等信息，更有甚者，直接進(jìn)行轉(zhuǎn)賬，套取用戶金錢。

2月22日，《每日經(jīng)濟(jì)新聞》記者就此聯(lián)系了瑞星安全專家王占濤，他說(shuō)：“有網(wǎng)站爆出這個(gè)漏洞以后，我們就做了一個(gè)安全測(cè)試。”不過(guò)他也表示，黑客通過(guò)提升權(quán)限的操作獲得最高系統(tǒng)管理員權(quán)限，直接進(jìn)行轉(zhuǎn)賬套取用戶資金是最極端的情況。

王占濤還表示，從理論上來(lái)講，電腦上出現(xiàn)的問(wèn)題，ATM上也會(huì)有的。瑞星官網(wǎng)也稱：“入侵ATM（難度）并不高，僅與入侵普通電腦的難度相當(dāng)，假如銀行和ATM廠商未能在系統(tǒng)上做必要的安全防護(hù)，那么，危險(xiǎn)性就極高！”

瑞星的消息中還提到：“已經(jīng)被銀行確認(rèn)，正在積極處理中”。對(duì)此，王占濤坦言：“曝出這個(gè)漏洞的烏云網(wǎng)下面顯示‘廠商已經(jīng)確認(rèn)’。”據(jù)悉，烏云網(wǎng)（wooyun.org）就是此前持續(xù)曝光多起互聯(lián)網(wǎng)公司泄密的網(wǎng)站。

《每日經(jīng)濟(jì)新聞》記者在該網(wǎng)站上看到了名為 “中國(guó)農(nóng)業(yè)銀行電子銀行體驗(yàn)機(jī)終端權(quán)限繞過(guò)”的漏洞，披露狀態(tài)顯示為“02-18細(xì)節(jié)已通知廠商并且等待廠商處理中”，“02-20廠商已經(jīng)確認(rèn)，細(xì)節(jié)僅向廠商公開(kāi)”。但其真實(shí)性記者并未核實(shí)到。

2月22日晚間，瑞星公司給《每日經(jīng)濟(jì)新聞》記者發(fā)來(lái)一份《關(guān)于農(nóng)業(yè)銀行體驗(yàn)機(jī)問(wèn)題的說(shuō)明》，相關(guān)工作人員表示：“我們的工作人員今天還專門去中關(guān)村支行做了體驗(yàn)。”

上述說(shuō)明表示：“2月18日，烏云網(wǎng)上爆出農(nóng)業(yè)銀行和建設(shè)銀行安全問(wèn)題的漏洞報(bào)告，基于安全公司的責(zé)任所致，對(duì)其真實(shí)性進(jìn)行驗(yàn)證如下。測(cè)試機(jī)器：農(nóng)行***支行**街**號(hào)。存在安全問(wèn)題：可突破封裝環(huán)境，使IE跳出。鑒于安全公司職責(zé)，未做進(jìn)一步滲透。推測(cè)如被黑客利用，可使用此機(jī)器訪問(wèn)內(nèi)網(wǎng)資源。

體驗(yàn)的結(jié)果，瑞星堅(jiān)稱：“我們認(rèn)為，烏云網(wǎng)上的漏洞報(bào)告‘中國(guó)農(nóng)業(yè)銀行電子銀行體驗(yàn)機(jī)終端權(quán)限繞過(guò)’真實(shí)性成立，因此向網(wǎng)民發(fā)布安全警告。”

銀行：不存在漏洞及風(fēng)險(xiǎn)

就上述情況，建行新聞處相關(guān)負(fù)責(zé)人短信回復(fù)《每日經(jīng)濟(jì)新聞》記者：“這種說(shuō)法是很荒唐的，自助設(shè)備的管理是國(guó)際通用的最先進(jìn)方法，說(shuō)某一家銀行有問(wèn)題是站不住腳的。”

農(nóng)行相關(guān)工作人員表示：“這是一個(gè)假新聞，ATM和網(wǎng)銀電子體驗(yàn)機(jī)根本不是一回事，電子體驗(yàn)機(jī)上不能取錢。瑞星也沒(méi)和我們的業(yè)務(wù)部門聯(lián)系過(guò)。”該工作人還表示，農(nóng)行會(huì)發(fā)布信息澄清的。

隨后，農(nóng)行通過(guò)“中國(guó)農(nóng)業(yè)銀行電子銀行”的官方微博發(fā)布信息稱：“近日有網(wǎng)絡(luò)傳言稱我行自助取款機(jī)（ATM）出現(xiàn)漏洞，可能被黑客利用，這一傳言不符合實(shí)際。我行ATM和電子銀行體驗(yàn)機(jī)從病毒防護(hù)、網(wǎng)絡(luò)防護(hù)、應(yīng)用控制等層面采取了嚴(yán)密的安防措施，不存在報(bào)道所稱漏洞及被黑客攻擊的風(fēng)險(xiǎn)。”

郵儲(chǔ)銀行渠道管理部總經(jīng)理羅志安在接受《每日經(jīng)濟(jì)新聞》記者采訪時(shí)也表示：“ATM要被黑客攻擊，鍵盤很關(guān)鍵，必須要有全鍵盤或者軟鍵盤（手寫鍵盤），但是據(jù)我了解，一般的ATM機(jī)上是沒(méi)有鍵盤的。”

瑞星對(duì)此表示，銀行的ATM確實(shí)存在漏洞，只是此次技術(shù)人員體驗(yàn)的是電子銀行體驗(yàn)機(jī)。對(duì)于ATM的問(wèn)題他們?cè)谌ツ?月份就發(fā)過(guò)提醒。