黑客向P2P平臺下手 P2P平臺遭遇“黑客門”事件屢見不鮮
責編：admin ｜2014-08-20 14:27:09自從嘗試P2P投資理財，一航(化名)每天總會抽空登錄自己使用的各個網貸平臺查看賬戶資金情況。用他的話說，“看看才踏實”。
盡管“某P2P平臺卷款跑路”、“某P2P平臺因網站漏洞無法擠兌”等有關P2P行業的負面新聞不絕于耳，但一航還是相信自己每天都關注的這些網貸平臺不會觸雷。
直到8月9日下午，在其有資金投入的網貸平臺之一金海貸無法登錄時，一航才意識到：這個行業可能處處是雷，其中有些雷還是黑客布下的。
金海貸于8月9日發布公告：“平臺于今天下午16：30左右受黑客DDOS攻擊，造成網站暫時不能正常訪問。給各位投友帶來不便，我們深表歉意！”
金海貸相關負責人對法治周末記者表示，平臺已經在8月10日晚上23：00左右恢復正常，網站數據庫通過實時備份，所有用戶的信息和資金都十分安全。
然而，此次金海貸被黑客襲擊并非孤例，自去年以來，P2P平臺遭遇“黑客門”事件屢見不鮮：2013年10月，人人貸發現個別用戶注冊賬戶時發生身份信息已被黑客占用的情況；2013年12月，廣東地區多家P2P平臺(包括e速貸、通融易貸、快速貸、融易貸、融信網等)集中被黑；2014年1月，拍拍貸、人人貸、好貸網等多家P2P平臺遭黑客惡意流量攻擊……
用戶信息、資金安全被“盯梢”
黑客們到底盯上了P2P平臺的哪些資源？
在中國社會科學院對外經貿國際金融研究中心副主任袁善祥看來，P2P網貸平臺本質上是融資平臺，上面沉淀著龐大的客戶數據和資金交易額，對于黑客來說，這無疑是巨大的誘餌。
“P2P平臺含有大量具有敏感度的交易數據，如投資人資料、資金記錄、銀行卡信息等，黑客竊取用戶信息的目的可能有三種：其一，非法調查機構、私人偵探等機構進行信息調查，調取客戶信息；其二，下載客戶數據及交易記錄出售獲利；其三，修改客戶信息，造成交易混亂。”袁善祥告訴法治周末記者。
記者在烏云漏洞平臺上注意到，白帽子“路人甲”于近日發布的漏洞報告“P2P網貸平臺生金所用戶信息泄露”顯示，黑客通過修改網站參數，可以掃描出該網站所有用戶的賬號信息，進而利用參數漏洞能夠獲取用戶身份證件、手機號碼、家庭住址等信息，甚至操作用戶賬戶內余額進行投資。
除了通過竊取信息、資金獲利外，一些以敲詐為目的或以攻擊為樂的黑客也會主動發起攻擊。
網貸行業門戶網貸天眼副總裁袁濤表示，網貸天眼在今年3月21日遭受黑客攻擊的第二天，黑客曾向管理員發出敲詐信息，要求轉賬五萬元到其支付寶[微博]賬戶，否則將持續攻擊。隨后，網貸天眼報警。
“有些黑客攻擊來自平臺對手的惡意競爭，用攻擊導致對方系統癱瘓，無法運營，對方平臺的投資者因此產生不安，要求提前變現等，從而達到擾亂對方平臺正常經營的目的，還能進一步實現客戶資源的開發和轉化。”袁善祥談道。
一把鑰匙打開多個同樣的鎖
網貸中心創始人蔣正認為，有些平臺標榜安全性高，實則漏洞百出，表現在硬件、P2P系統、人才以及安全意識等方面。
“由于成本受限，目前行業自主開發系統軟件的平臺數量不多。P2P平臺在技術力量薄弱的情況下會委托系統開發商進行數據托管、系統維護，一旦數據庫不由P2P平臺自己掌控，就會面臨客戶資料泄露、資金流動失誤等潛在風險。”蔣正談道。
記者在淘寶網[微博]搜索“P2P網貸系統模板”后發現，模板定價在幾百元到幾十萬元不等。其中較多的是一款名為“綠麻雀系統”的P2P網貸程序。記者從多個賣家的描述中看到，使用該系統的網貸平臺，包括融易信、易天貸、西部聚財、大地貸、盛世匯盈、雪山貸、國安貸等幾十家網貸企業。
“采用模板的平臺是黑客指向性攻擊的重災區，網貸企業購置通用平臺模板，稍加修改后使用，就像裝了同樣的鎖，別人用一把鑰匙就能輕易打開門。”袁善祥認為通用模板是導致P2P平臺易受攻擊的原因之一。
蔣正認為，黑客攻擊P2P平臺最常見的方式是DDOS攻擊，通過很多“僵尸主機”(被攻擊者入侵過或可間接利用的主機)向受害主機發送大量看似合法的網絡包，從而造成網絡阻塞或服務器資源耗盡而導致拒絕服務。簡單說，是指通過網絡過載來干擾甚至阻斷正常的網絡通訊，通過向服務器提交大量請求，使服務器超負荷崩潰。
上述金海貸相關負責人告訴記者，金海貸網站遭到的是黑客30G高流量攻擊程度的DDOS攻擊，所謂流量攻擊都是按每秒的流量算的，很多機房的總出口帶寬都不足30G，而機房最高的防火墻集群一般都才30G，國內的機房防火墻一般是在20G左右。
請第三方安全機構“保駕護航”
中國互聯網金融誠信聯盟首席律師肖颯認為，P2P網貸系統只有確保無漏洞，才能保障網貸平臺的安全穩定和投資者的收益。“平臺一定要重視網絡安全，要有意識地依照網絡安全的基本要求，及時發現網站漏洞，防止黑客攻擊。”肖颯說。
那么，P2P平臺如何才能確保無漏洞，維護網絡安全呢？
蔣正從技術角度指出，P2P平臺應該實施服務器集群與分布管理，增強硬防火墻，流量清洗等安全策略，加強對平臺的不間斷監測，建立高效預警機制；保持對平臺的更新升級頻率和漏洞的巡查修復。
“應該讓專業的人做專業的事。P2P平臺可以依托專業的技術外包公司解決技術安全問題，保證數據實時異地備份，確保被攻擊后數據不丟失。”蔣正認為，借助第三方安全服務機構進行獨立和專業的滲透檢測，可以避免P2P平臺的內部力量不足和非獨立性。
袁善祥提示網貸平臺，如果發生黑客襲擊事件，網貸企業應做好受攻擊后的客戶安撫和解釋工作，防范引發集中提現、提前兌付等系統性風險。
“金海貸網站被黑之后，很多投資人因打不開網頁而恐慌，不斷打客服電話進行咨詢，當時公司上下全體員工輪換值班，在QQ群告知投資人當前事件的進展狀況，盡量做到安撫投資者。”金海貸相關負責人談道。
在慶幸其在金海貸網站的投資有驚無險之余，一航建議P2P平臺可以考慮組建追擊黑客的安全聯盟，在網貸中心、網貸天眼等第三方平臺的顯眼處貼出黑客通緝令，征集賞金獵人。
“獎金由網貸平臺認捐，當認捐的網貸平臺發現被黑客攻擊后，可以在第三方平臺發布通緝令，等抓到黑客了，網貸平臺再根據自己認捐的錢每次提出一定比例的金額付給抓住黑客的賞金獵人。”一航解釋道。
下一篇：德國將建全球第一加密大國