中国银行股份有限公司信息科技部 宋瑞

    自助银行又称无人银行、电子银行，它属于银行业务处理电子化和自动化的一部分，其运用科技手段向客户提供自动化程度高、方便、安全、全天候的金融服务，也有效地把银行柜员从附加值低的机械劳动中解放出来，提高了工作效率。目前自助银行已成为金融同业竞争的有力手段。自助银行建设的重点是全面提升自助银行的安全性能，给客户提供一个安全放心的交易环境。随着自助银行案件不断增多，自助银行安全问题引起了社会各界的高度关注。本文分析自助银行存在的安全风险，并重点分析自助设备的安全现状和可能存在的风险因素，着重阐述自助设备安全解决方案的未来发展方向。
一、自助银行安全现状
1.银行卡犯罪现象日益猖獗
银行卡在居民生活中使用频率的日益增加、给人们生活带来更多便利的同时，银行卡犯罪也如影随形，特别是近年来，针对银行卡的犯罪案例日益增多，所涉金额也越来越大（如图1所示），银行卡产业面临的风险形势也更加严峻。
    2008年4月1日至9月30日，中国人民银行和公安部在全国范围内开展了联合整治银行卡违法犯罪专项行动。据统计，专项行动期间，全国公安机关共立银行卡犯罪案件3672起，比2007年同期增长1.4倍；涉案金额1.76亿元，比2007年同期增长2.1倍；破案2388起，比2007年同期增长1.09倍；挽回经济损失6161万元，比2007年同期增长1.22倍。2008年2月，浙江省公安机关经侦部门成功破获的“2.2”特大跨境信用卡诈骗案，抓获3名犯罪嫌疑人，涉案金额达560余万元。

2.银行提高自助银行安全的进程
针对自助银行里的银行卡用卡安全，国际上已推行了EMV迁移计划，即由国际三大银行卡组织共同发起制定的银行卡从磁条卡向智能IC卡转移的技术标准。 我国社会各界也十分重视打击和遏制银行卡犯罪行为。在我国，人民银行、银监会等机构一直要求加强银行卡的管理。早在1999年1月，中国人民银行就制订并下发了《银行卡业务管理办法》，对银行卡业务进行规范管理。2000年3月，下发了《关于〈银行卡业务管理办法〉跨行交易收费条款补充规定的通知》。2004年，银监会发布了《中国银行业监督管理委员会关于加强银行卡安全管理有关问题的通知》。为了营造安全和谐的奥运支付环境，确保奥运期间用卡安全，2008年4月1日至9月30日中国人民银行、公安部在全国范围内开展了联合整治银行卡违法犯罪活动专项行动，取得了明显成效。2010年4月29日，中国人民银行、中国银行业监督管理委员会、公安部和国家工商总局联合下发了《关于加强银行卡安全管理预防和打击银行卡犯罪的通知》。银联、银行卡检测中心等专业机构也针对用卡安全提出了相关建议，并采取了一定的措施。
二、自助银行风险分析
1.自助设备安全问题日趋严重
利用自助设备犯罪的案件数量逐年增大、涉案金额逐年增大、犯罪手段不断向“高科技、集团化、专业化、规模化、国际化”发展、案件实施过程更为隐蔽、手法不断翻新，伪卡欺诈等案件日益增多，这对银行和持卡人的资金安全造成了严重的威胁，也成为制约银行卡产业长期健康发展的重要因素。从典型案例进行分析可以发现，自助银行犯罪大体可以分为以下几类（如图2所示）：

（1）针对银行卡或自助设备使用环境的犯罪
浑水摸鱼式诈骗：2007年7月，苏州的蒋某持某银行卡在ATM取钱时，被犯罪分子贴在ATM上的“操作须知”所蒙骗，结果被卷走近14万元。这类ATM犯罪一般发生在夜晚，犯罪分子使用专门截取磁卡的工具，可导致提款人的磁卡无法深入ATM内部，造成“吞卡”假象。因在夜色掩护下取款人一般难以辨识取款机被人做了手脚，此时银行工作人员已经下班。胆大妄为的犯罪者在ATM旁张贴“温馨提示”、“银行告示”等假冒银行客服热线，利用取款人的焦急心理和一时麻痹大意引诱其转账或者套出银行卡密码，乘提款人离去之际迅速到ATM，取出被截留的磁卡，销毁标贴后，凭借磁卡和密码疯狂提现、刷卡。待取款人醒悟过来为时已晚，卡上资金已经全部被盗取。
这种诈骗手段隐蔽性高，危害性大，不能不引起银行和持卡人的重视。目前这种诈骗手段有着向比较偏远的郊区县、乡镇等地区转移的趋势。要杜绝这种现象，银行应想办法阻止非银行卡类物品进入取款机入卡口，并派人手经常巡查各取款机窗口，发现有非法告示张贴便立即报警查处。
（2）针对持卡人信息的犯罪
ATM上“偷龙转凤”：2008年1月21日晚上10点，南京市民朱先生在一台ATM上取款，就在他把密码输进去，正准备取钱时，一名30岁左右的男子拍打他的肩膀并很友好地指了指地上，朱先生低头发现自己脚下有两张10元纸币。朱先生弯腰捡钱，那名男子却随即离开了ATM。当朱先生准备继续取钱后发现，取款机内的银行卡已被偷梁换柱。朱先生网上查询时发现自己卡里的钱已经被人取走10 000元。
    犯罪人故意将小金额钱币丢在ATM取款人身旁，然后拍打其肩膀。在取款人回身或者低头捡钱时，嫌疑人迅速更改市民银行卡密码，并将银行卡调包，取走卡内现金。这种手法只是众多针对客户信息犯罪类型的一种。
    利用高科技盗取用户银行卡信息： 部分犯罪人通过在键盘上方私自安装微型摄影机盗取取款人密码，有些犯罪人直接将一块带显示屏的集成电路板制作成逼真的假键盘覆盖在真键盘上，取款人在假键盘上操作输入的密码可以清晰显示在显示屏上，该犯罪人配合使用吞卡装置，利用原持卡人的银行卡盗取卡内资金或者利用用户随手丢弃的凭条复制假银行卡盗取现金。
2.所有类型攻击中内部攻击增长最快
自助设备攻击类型主要有：
DOS 、病毒、金融欺诈、内部攻击、网络钓鱼、网页欺骗、网络挂马、DNS攻击、IM欺骗、密码盗窃、客户资料窃取等。病毒和内部攻击长期占据攻击类型统计排名的前两位。统计显示，2009年内部攻击案件突然上升，成为所有攻击类型最多的一种。

三、自助银行安全解决方案发展方向
    目前，针对自助设备的安全防护成为自助银行安全解决方案的重点。银行部署的自助设备安全方案大多是通用产品，比如防病毒产品一般采用国内外的防病毒软件（MCAFEE、趋势、SYMANTEC等）。自助设备上的安全产品除了能够防范病毒外，还应具备白名单的识别能力、保护自助设备上的数据不被非法使用以及维护权限管控。自助设备迫切需要专业的安全解决方案，以满足日趋增长的安全需求。据悉，国际支付卡行业组织PCI已经提出了银行的安全架构。该架构中所涉及的产品包括：防病毒产品、防火墙、安全策略、网络传输安全产品（VPN）、身份认证中心（防欺诈）、监控、远程分发产品、版本管理等。各大银行如何应对系统中所有的安全问题，安全问题是否需要以及如何进行统一管理？这都是自助银行系统风险管理的难点。自助银行安全解决方案与银行系统风险管理融为一体将成为银行自助银行系统安全管理的发展方向。
    随着自助设备安全问题日益突出，业界也出现了专门针对自助设备的安全解决方案。通过运用主动防御技术（HIPS）、端口控制技术、安全度量技术、远程分发与认证技术以及操作系统安全策略技术等，可实现银行自助设备的病毒防护、端口控制、安全审计、系统安全配置、远程安全管理等功能。与传统的防病毒软件相比，它弥补了ATM安全防护方面的不足。在未来，类似的专业自助设备安全产品的普及将极大地降低自助银行的安全风险，为持卡人营造更为安全的用卡环境。