“我当时不知道说什么好，简直不能相信自己的耳朵。”好在3月末案子破了，真相终于大白于天下：原来黑客通过木马病毒窃取了他的建行银行卡账号、密码和认证信息。蔡中的遭遇至今还在被网民从一个论坛搬到另一个论坛。实际上，和蔡中有着类似遭遇的人不在少数，但如此大的金额尚属罕见。毫无疑问，蔡中事件给网上银行又罩上了一层阴霾。
招商银行(以下简称“招行”)尤感担忧，实际上，它也有足够的理由担忧：作为国内第一家开展网上银行业务的银行，招行可谓网上银行的鼻祖，它的“一网通”是目前国内最大的网上银行。目前，其网上银行个人用户量已达千万量级，约占到招行整个业务量的30%。对于这种新兴的银行来说，无法和工、农、中、建四大行比拼物理的营业网点，惟有依靠先进的IT手段来竞争，而网上银行无疑是最好的方式。
但网上银行面对的安全问题却让人始料未及。1998年，国内网上银行“小荷才露尖尖角”时，木马、黑客还没有现在这么多，发生网银被盗事件，多是因为黑客采用简单的密码猜测法进行盗取，当时复杂的数字加字母的密码就可以防御住黑客了。不过好景不长。2004年底，网上银行的安全事件开始增加，2005年底～2006年上半年，整个银行业的安全事故频仍。2006年8月，工商银行300多名网银被盗的客户自发组成“工行网银受害者集体维权联盟”，更是把网上银行的安全风波推至顶峰，乃至业界甚至把2006年称为网银的“多事之秋”。
几乎是同时，2006年9月，招行的网站也遭致“克隆”，网址是www.cmb95555.com的网站完全克隆招行网站(http://www.cmbchina.com/)上的内容。对这种典型的钓鱼(Phishing)事件，招行总行信息技术部负责网上银行的高级经理夏雷并未感到意外，甚至觉得只是迟早的事。事实上，自1999年进入招行，夏雷先后参与和主持招行“一网通”网上支付、网上企业银行、网上个人银行等系统的设计、开发和推广工作，护卫网上银行是他的主要工作内容。他非常清楚网上银行面对的是越来越恶劣的环境。
而当部分招行的用户和其他银行的网银用户一样，在假网站上泄露了自己的账号和密码后，他们并没有像蔡中那样倒霉。“我们从来没有指望密码能保护用户的安全，招行从来没有依赖密码，从来就是假设密码被黑客知道了。”谈起这件事情，夏雷语气淡定，“我们可以挡住黑客的大部分攻击，不能说100%，但是绝大部分可以挡得住。”
事实上招行的网上银行也是用户中口碑最好的之一。
步步为营
在大多数人都以为自己的密码完全泄露的情况下,一切都无可挽回了。招行何以能够颠覆这个想法?“网银就像一所房子，大门这个地方有安全措施，窗户上有安全措施，床底下藏把刀这也是安全。”在夏雷的眼里，网上银行的安全手段无处不在。其主持开发的网上支付系统，从设计开始，到开一个子账户，后来演变到设定一个专用的额度，直至利用密码控件防止黑客窃取用户的密码，已经把安全融汇到每一个操作步骤中。
在某种意义上来讲，如此严密的做法则是严峻的安全环境逼出来的。目前国内整个黑客产业链已经形成，并有了社会化的分工。有人提供原始信息;有人专门制造木马病毒;有人专门销售安全软件等。QQ群里叫卖用户原始密码、地址等资料的人和提供技术支持的人热闹非常，三七分成是这个游戏的一般规则。几乎所有的黑客都把黑手伸向防护较为薄弱的客户端，通过木马病毒盗取用户的密码、甚至直接操作用户的业务等手段层出不穷。最离奇的一件事是，淘宝网曾经接到一位用户的投诉，称他眼睁睁地看着电脑的光标在他的面前乱跑，不受他的控制，页面一个接一个跳，最后把钱转走了。“如果哪一家网上银行能抗得住这些攻击，那就算安全性做得比较好的了。”夏雷感叹道。
一位业内人士透露，其实自2004年以来，各大银行多多少少都出过事，只是影响大小不同而已。不过，从网民的评价和各种论坛的议论来看，招行的网银口碑较好，尚未出现突出的安全事故。江苏省某国有银行的IT部门主管很坦白地告诉《CIOINSIGHT》记者，“网银安全这块招行确实做得不错。”
其实，从建设网上银行之初，招行就把安全确定为第一要素，其后则是系统稳定性，而“花哨的业务功能”被置于末位。而后来在招行网上银行推出的每一项业务中，从一开始的业务功能设计、开发到系统的每一个步骤、每一个环节都将安全贯穿进去，甚至每一行代码都要考虑安全的问题。换而言之，招行的网上银行业务是业务和技术的结合体，它不是一个独立的安全系统或者安全模块，网上银行的安全完全地和业务融合在一起，并贯穿在银行的整个操作里。
1998年，马蔚华来到招行时，四大国有银行布局已定，他没有像撒胡椒粉那样到处开设网点，却选择发展当时国内还没有开始的网上银行。用招行员工的话说，马行长到招行就抓两个脑，一个是人脑(人事部)，一个是电脑(信息技术部)。夏雷就是在那一年进入招行，并从事网上银行工作的。
在外界看来，招行的网上银行业务很“花哨”，某国有银行地方分行的一位IT部门主管在接受《CIOINSIGHT》记者采访时直言不讳，“虽然大家都说招行的业务好、系统稳定，但是其实他们有的我们都有。”“表面看起来业务都一样，实际上背后有大量的技术点。正因为招行解决了那些问题，所以做出来才不一样，这也是招行不同于其他银行的地方。”支持夏雷说法的一个例子是招行的文件证书，“招行在这里面有很多安全技术突破、技术亮点，所以才敢把文件证书做下去。”与招行相反的是，目前工行、建行则没有文件证书这项业务。实际上，在网上银行这方面的客户端，工商银行主推的是口令卡和移动证书(U盾)，从来没有对外实行文件证书，而价格颇高(几十元人民币)的U盾招致部分用户的不满。免费的文件证书让招行的网银用户堪与工商银行比肩。
“即使是登录招行的大众版这样一个简单的动作，在登录的一瞬间，已经有几十个安全措施在后面支撑。”“在大众版的安全设定上，除了表面可见的图形验证码和密码控件，背后看不见的安全措施更多。”夏雷透露说，“看不见的从头到尾，比如说从客户端到网络上，再到银行后端，一直到业务控制方面的都有。”其实看不见的安全措施在国内各家银行做法不一，至于其优劣自有效果证明
随机应变
实际上，目前网上银行面临的主要攻击来自客户端，极少有黑客对银行端进行攻击。这是因为网上银行有两端，一端是客户端，一端是银行端，要想攻破银行那端几乎是不可能的。
据浦东发展银行个人银行总部银行卡部总经理助理薛建华介绍，按照现在黑客攻击的手段，根本就不可能攻破银行端的防御，现在每一个银行端一般的防火墙至少是三层设置的。一般的黑客根本就别想进入第二层和第三层，即使银行自己的员工一般也都接触不到。相对于近似铜墙铁壁的银行端来说，客户端的防护几乎不设防。因此除非黑客有其他的目的或是想黑你一下什么的，如果纯从商业利益这个角度，他根本不会去从银行那端下手。
各家银行的用户身份验证手段几乎都是针对前端的。到目前国内几乎所有的网上银行出安全问题，都是因为客户自己的电脑比如说中了病毒、被木马控制，或是自己把密码、卡号泄露出去了。虽然后台攻击很困难，但一旦被攻破，后果不堪设想。
正因为如此，当今年3月份，暴露出全球最大的零售商TJX公司的交易系统遭遇非法访问，数百万人的信用卡交易数据泄露后，这件远在万里之外的安全事件却成为到目前为止，让招行上下最紧张的一次。虽然这是零售公司出事，与银行无关，但是用夏雷的话说，“作为银行来说，这也是一个机会，可以趁机对自己进行检查。”
“安全无止境”则是夏雷听到这件事后的第一感觉。值得欣慰的是，在招行随后展开的内部自查结果是，招行的系统没有出现类似的漏洞。但是信息技术部却发现了“有很多东西可以加强”。其实除了自查外，招行还经常请权威的安全机构对自己的系统进行检测。其实对于招行在安全方面做得好这一点，圈里人并不会感到意外。瞬息万变的安全问题对反应速度要求非常高，而招行的技术全部都是自己做，这一点上自然会占优。另一方面，则与其技术主导的文化密切相关。
在银行界，你也许很难找出第二家由技术部门而非业务部门主导的了。在招行，网上大部分市场分析和需求调查都是由技术部门完成的，业务部门只是把一些根据传统业务发展过来的东西移植到网上。而这也是网上银行的特点导致的，它更多地是和技术交织在一起，“如果不这么做，很难深入下去。”夏雷说。
不过自己做技术或外包，两者的优缺点都一目了然，已经有人指出随着业务量的迅速增大，招行的这种模式将遭遇挑战。招行自己当然也看到了这一点，于2002年11月成立“深圳市融博信息技术有限公司”，这家公司其实就是招行公司化运作的软件研发中心，担负着招行电子信息化的重任。
风险和业务的博弈
不过招行并非无懈可击，其大众版就饱受舆论的攻击。现在的网上银行终端保护有两种方式，一种是基于证书的，另一种则是基于密码的。前者因用户无需交费而利于市场推广，但是安全性低一些。招行的大众版证书只要拥有招行的账户和密码即可开通，这意味着高风险。“如果一开始大众版门槛就很高，比如说一定要到柜台去签约，那样的话招行的客户很多就望而生畏，根本就不会成为网银用户了。”市场的原因让招行对安全性较低的大众版割舍不下，最终的措施是规定在大众版不能进行转账等高风险业务。
但一位业内人士认为，如果招行还坚持这种市场拓展方式的话，它就不得不去考虑正面临一个非常恶劣的环境，因为现在的木马病毒太泛滥了。而目前暴露出来的问题也多出于网银大众版，有的用户可能仅仅登录大众版查询余额，钱就被划走了。
实际上，消灭风险其实并不难，像建行停止文件证书的做法即是范例，但这样丢失的是巨大的市场。而对于目前国内某些银行每一笔交易使用手机验证的做法，夏雷不敢苟同，“这样虽然可以最大程度地减少风险，但却要求每个客户在柜台重新登记手机，为客户带来非常大的不方便，也会流失大量客户。”招行对市场和安全这根平衡木的两头小心翼翼地平衡，努力不让任何一头失衡。“难的是如何在控制风险的同时，业务还能有大的发展。”
未来，招行将跨坐到一个支点更高的跷跷板上。在招行网上银行的步骤中，下一步将全面拥抱虚拟银行。目前在国外，虚拟银行已经成为银行普遍的一种趋势，虚拟银行卡已经在网上发行，但国内尚未有人做，虚拟银行将是国内银行业全力拼抢的下一块蛋糕。夏雷承认，“虚拟银行越来越依赖互联网，我们的压力越来越大。”接下来，风险和业务的博弈还将继续。
即使是目前招行网上银行已有口皆碑，但夏雷却说自己和身边的同事“每天都是在如履薄冰，如临深渊，不敢得意”。这是因为网上银行和柜台不一样，全国有很多柜台网点，出了问题影响的是小范围的人，而网银出一点问题就是全国性的影响。
的确，近两年来媒体对于网上银行事故的报道此起彼伏，一方面是安全环境在急剧恶化，“和国外相比，国内的社会环境太恶劣了。如果不提高网上银行的安全，就没法生存。”夏雷说。但另一方面，浦东发展银行个人银行总部银行卡部总经理助理薛建华对《CIOINSIGHT》记者说，“网上银行跟传统银行的风险值应该差不多，甚至更低，但媒体对这个新生事物的关注度过高了。”
现在人们广泛使用的信用卡其实更容易出事。但不管怎样，这些报道会对整个网上银行的声誉造成影响，而这也是夏雷所担心的。再加之未来三五年间的网上银行安全形势也不容乐观，“安全形势肯定会更恶劣，因为不断地有新的木马病毒造出来，每天都有几十个变种出来。”而不久前，招行发布了一个帮助用户识别钓鱼网站的小工具，当用户在钓鱼网站输入账号和密码时，该工具会提醒这个网站有可疑行为。为了让网银更安全，夏雷和他的同事们一直在不断创新。
另一方面，出事归出事，各大银行的网上银行业务量照样在增长，用户照样在增加。事实上，经过近十年的发展，网上银行已经开始成为大多数人的一种生活方式。
(责任编辑：adminadmin2008)
