白帽黑客：部分银行险企网络平台确存漏洞

　　有的漏洞可使得百万数量级的客户保单信息、微信支付信息、客户姓名、电话、身份证、住址、收入、职业等敏感信息泄露

　　本报见习记者 苏向杲

　　保险公司通过官网等网络销售渠道卖保险真的“保险”吗？

　　近日，某大型上市寿险公司再次被曝出有“省系统存在漏洞，可泄漏百万条客户信息”。事实上，《证券日报》（zqrbbaoxian）记者查阅国内的漏洞盒子、补天漏洞等漏洞检测平台发现，险企的网络平台存在漏洞并非个例，统计显示，有超过20家保险机构的官网等平台被漏洞检测平台测出各类漏洞。

　　值得注意的是，被曝出有漏洞的平台涵盖大、中、小各类保险公司。从各保险机构曝出的漏洞类型来看，部分高危漏洞可暴露客户的保单信息、微信支付信息、客户姓名、电话、身份证、住址、收入、职业等敏感信息，甚至是充值卡、资金都可以被转移。

　　值得一提的是，金融领域中，不止保险机构存在各类涉及普通消费者个人隐私的系统漏洞，银行、基金、券商、P2P领域等也存在着类似的问题。

　　泄露客户信息

　　7月1日，一位叫做“system-gov”的白帽黑客（又称为白帽子，即通过测试网络和系统性能，来判定它们能够承受入侵强弱程度的网络安全工程师）在补天漏洞响应平台发布了一则某保险公司网销平台可致600万条客户详细信息泄露的漏洞。system-gov在漏洞描述中调侃道：“我要把这些信息上交给国家，信息收集也就算了，居然还可通过APP 进行GPS坐标收集。”

　　资料显示，补天漏洞响应平台漏洞数据同步公安部、网信办和国家漏洞库。此前中国铁路客户服务中心12306网站用户数据泄露事件成为大家关注的焦点后，12306网站加入补天漏洞响应平台，并号召网友查找漏洞，每个漏洞最高悬赏2000元。

　　《证券日报》（zqrbbaoxian）记者梳理补天漏洞响应平台发布的保险公司各类平台存在的漏洞发现，这些漏洞多数针对保险公司官网销售平台，部分漏洞也涉及保险公司的其他管理系统。

　　在公布的各类漏洞中，保单客户信息、微信支付信息、客户姓名、住址、电话号码、薪资收入、职业信息等敏感信息可被任意下载的漏洞较为普遍，部分漏洞可使黑客直接重置密码。如6月29日，白帽黑客“好霸气的名字”在补天漏洞响应平台发布的某保险公司漏洞显示，该漏洞可使在公司官网注册的任意用户密码被重置和修改。

　　另外，部分系统漏洞可致保险公司保单的保费金额被任意修改，即漏洞可使黑客用1毛钱购买保费远高于此的保险。其实，另一漏洞检测平台漏洞盒子在今年6月份发布的某保险公司设计缺陷就表示，此缺陷可导致这一“高危漏洞”，漏洞发布后并随即得到该保险公司的确认。

　　如果说信息泄露对保险公司和消费者带来的威胁较轻的话，那么直接提现、转账呢？你没看错，部分保险公司的网络平台由于存在漏洞，可供黑客直接提现、巨额资金可能被直接转账。

　　2015年6月17日，白帽黑客carry-your在补天漏洞平台发布了某中资中型财产保险公司的一个漏洞，并附有该保险公司漏洞侵入后的界面图。根据描述，该漏洞可导致该公司的“全部员工个人信息及公司各种敏感信息泄露”，甚至是公司的20万元的燃气充值卡被转走，公司的支付宝用户名及密码不仅能重置密码，还能直接转账。

　　不仅寿险公司的官网等平台存在系统漏洞，部分财险的系统也存在漏洞。根据《证券日报》记者对补天漏洞响应平台上统计发现，已经确认平台存在漏洞的寿险公司、财险公司共计超过20家，还有一大批保险公司的各类平台，虽然有白帽黑客检测出来漏洞，但并没有经过保险公司确认。

　　补天漏洞响应平台安全专家邓焕表示，部分信息包括居民身份证、薪酬等敏感信息。这些信息一旦泄露，造成的危害不仅是个人隐私全无，还会被犯罪分子利用。例如，被用于复制身份证、盗办信用卡、盗刷信用卡等一系列刑事或经济犯罪。

　　部分金融机构均有涉及

　　2015年7月18日，经党中央、国务院同意，《关于促进互联网金融健康发展的指导意见》正式对外发布。《指导意见》明确提出互联网金融的主要业态包括互联网支付、网络借贷、股权众筹融资、互联网基金销售、互联网保险、互联网信托和互联网消费金融等。

　　在政策环境一片向好的大形势下，“互联网+金融”热极一时，部分上市公司也是稍沾该概念其股价便一路飙涨。而“互联网+金融”在进入快车道的同时，平台漏洞、系统漏洞也如影随形。

　　7月14日，白帽黑客system-gov在补天漏洞平台公布了一则某基金公司系统漏洞，根据漏洞描述，该漏洞可导致黑客获取：百万个基金账户+密码；百万名用户详细信息；基金交易记录；实时证券/基金结算数据；海量短信记录等敏感信息。

　　更为可怕的是，该漏洞可使得该基金公司的“短信系统沦陷”，并利用漏洞进行短信诈骗；该漏洞也能使该基金公司的邮件系统沦陷，黑客可随意发送钓鱼邮件；该漏洞亦可导致该基金公司的坐席系统也形同虚设，黑客可渗透至基金公司内网。

　　system-gov在发布漏洞的同时，也附带贴出该基金公司部分打过马赛克的客户账户与密码。漏洞爆出后的7月17日11时36分，该基金公司确认了该漏洞的存在，并表示“感谢system_gov发现，我们尽快解决”。

　　金融领域中，并非基金公司存在漏洞，银行也可能存在漏洞，另一漏洞检测平台漏洞盒子前不久发布了编号为“Vulbox-2015-07971”的漏洞，该漏洞可使得某银行贷款系统泄露大量用户信息，包括银行卡号、电话、身份证、余额等。

　　事实上，《证券日报》（zqrbbaoxian）记者查阅补天漏洞平台已经确认存在漏洞的金融机构还包括券商、P2P等金融机构，而这些漏洞或可导致大量的客户信息被泄露，对众多消费者的资金安全形成隐患，看似安全的互联网金融平台也并非无懈可击。