網(wǎng)銀“授權(quán)支付”被曝安全風險 360安全中心公布真實案例
ZDNet安全頻道 發(fā)表于：13年05月29日 13:26 [轉(zhuǎn)載] 至頂網(wǎng)
5月28日，360發(fā)布重大安全警報稱，“超級網(wǎng)銀”跨行賬戶管理功能已經(jīng)成為黑客惡意利用的目標，近期全國連續(xù)出現(xiàn)多起各大銀行客戶被騙案例。
記者獲悉，利用“授權(quán)支付”欺詐是360在2013年年初截獲的新型高危騙術(shù)。騙子通過釣魚鏈接、交易失敗提示、客服聊天等組合，誘騙受害者進行 “網(wǎng)銀授權(quán)支付”，授權(quán)騙子用另一個網(wǎng)銀賬戶對自己賬戶進行資金操作，短短幾分鐘內(nèi)就能將受害者賬戶中的資金大量轉(zhuǎn)出，受害者損失高達數(shù)千甚至數(shù)萬元。
360互聯(lián)網(wǎng)安全中心還公布了兩起真實案例
案例1：網(wǎng)購166元褲子，被騙20166元
王先生通過旺旺與某購物網(wǎng)站賣家商談購買一條褲子。店家發(fā)給王先生一個報價166元的褲子的商品鏈接。王先生通過建行網(wǎng)銀支付購買之后，卻看不到交易記錄。王先生向店家詢問，店家就給了王先生一個客服QQ號，讓王先生與客服聯(lián)系。
王先生與該客服QQ溝通后，客服QQ給王先生提供了一個“退款鏈接”，表示王先生按照提示操作就可以內(nèi)部退款。王先生按照客服提示，進入了一個“授權(quán)建行賬戶支付協(xié)議簽約”的界面。
王先生對這個授權(quán)頁面上的信息也有所懷疑，并提出了質(zhì)疑。但客服表示：這是內(nèi)部核對信息，只要按照提示完成操作，收款人就會將貨款退還給王先生。王先生猶豫之后，還是按照客服提示完成了授權(quán)操作。
幾分鐘后，王先生就收到銀行短信，提示自己的賬戶中有1萬元被轉(zhuǎn)走;過了一會，他又收到一條新的銀行短信，提示自己又有1萬元被轉(zhuǎn)走。下圖是王先生事后向360網(wǎng)購先賠提供的銀行賬單照片。
見損失如此之大，王先生立即掛失了自己的銀行卡，并向那位客服進行質(zhì)問。但客服非但沒有逃走，反而質(zhì)疑王先生：“打你那個核對的卡號，說對方掛失了，轉(zhuǎn)不回去?”
王先生此時仍然對追回166元的購物款抱有希望，于是要求將退款轉(zhuǎn)到另外的存折上。經(jīng)過交涉后，客服又再次引導王先生對自己的存折賬戶進行授權(quán)操作。此時，王先生感覺事有蹊蹺，沒有繼續(xù)。雙方又經(jīng)過近一個小時的交涉，最終王先生也沒能追回自己的損失。
案例2、網(wǎng)購900元游戲裝備，被騙5900元
用戶徐先生在某款網(wǎng)絡游戲中，看到有人在聊天頻道喊話，低價出售游戲幣。徐先生于是通過對方留下的QQ號與對方進行了聯(lián)系。對方邀請徐先生到知名的網(wǎng)游交易平臺“5173”上進行交易，并提供了5173的商品鏈接。
徐先生使用農(nóng)行網(wǎng)銀支付購買后，頁面提示交易不成功。徐先生向?qū)Ψ皆儐枺瑢Ψ骄徒o徐先生提供了一個“5173客服QQ”號碼，請徐先生與客服聯(lián)系，協(xié)商解決。
徐先生與客服交流后，客服要求徐先生提供姓名和身份證號碼等信息進行核對。徐先生如實提供后，客服向徐先生提供了一個退款鏈接。但徐先生打開后，進入的卻是一個授權(quán)支付的界面。
徐先生對這個頁面表示不解，客服隨即提出遠程協(xié)助徐先生完成退款操作。隨后，徐先生同意對方通過QQ對自己的電腦進行遠程操作，完成授權(quán)后，徐先生感到對方的操作很可疑，隨即終止了對方的遠程操作。(下圖是雙方進行QQ聊天時的截圖。)
但等徐先生查看自己的農(nóng)行賬戶時，發(fā)現(xiàn)其中已經(jīng)多了5900元的支付記錄。其中，先前支付的900元實際上是購買了電話充值卡，但充值卡去向不明。其余5000元的去向也不明所以。
與傳統(tǒng)的釣魚欺詐案例不同，這兩起案例中，騙子雖然也是通過QQ發(fā)送釣魚鏈接欺騙受害者，但受害者的主要損失并不是因為在虛假的購物網(wǎng)站上進行購物，而是因為他們在“交易失敗”后向店家進行申訴時，被騙子的客服QQ誘騙進入了一個稱為“授權(quán)XX銀行賬戶支付協(xié)議簽約”的頁面，并被告知這是內(nèi)部號碼或內(nèi)部規(guī)則，可以放心操作。
當受害者按照騙子客服的指示完成操作后，實際上就已經(jīng)授權(quán)了騙子使用另外一個網(wǎng)銀賬戶對自己的網(wǎng)銀進行轉(zhuǎn)賬或支付操作。在完成授權(quán)后的幾分鐘內(nèi)，受害者網(wǎng)銀賬戶中的資金就會被大量轉(zhuǎn)出。
鑒于“超級網(wǎng)銀”授權(quán)鏈接都是銀行官網(wǎng)地址，此前沒有任何安全軟件會對其報警攔截。不過隨著網(wǎng)銀授權(quán)騙術(shù)興起，360安全衛(wèi)士已緊急更新了防護策略，針對來自聊天消息的網(wǎng)銀授權(quán)鏈接進行風險提示，建議用戶警惕陌生人發(fā)來的此類鏈接。
圖：新版360安全衛(wèi)士對聊天消息的網(wǎng)銀授權(quán)鏈接進行風險報警
360互聯(lián)網(wǎng)安全中心提醒廣大網(wǎng)民：一旦網(wǎng)絡交易出現(xiàn)異常，應當首先通過官方渠道聯(lián)系客服，而不要輕信店家發(fā)來的客服聊天號碼;不要相信所謂的卡單、掉單、解凍資金等說法，這些都是網(wǎng)絡詐騙專用術(shù)語;網(wǎng)銀賬戶應設(shè)置單日最高轉(zhuǎn)賬限額，并絕對不能將自己的賬戶授權(quán)給陌生人或陌生賬戶。
