銀行卡漏洞：手機NFC可刷出IC芯片的交易記錄

　　帶IC芯片的銀行卡確實存在漏洞。造成手機刷出IC芯片卡信息的最根本原因在于銀行，是銀行在發(fā)行IC卡時沒有考慮周全導致的。

帶有IC芯片的銀行卡

　　據(jù)此前的報道，某用戶無意間將帶有IC芯片的銀行卡放在了某品牌手機背面，不到1秒鐘時間，手機便顯示了銀行卡的交易賬單信息，期間并沒有要求用戶輸入任何密碼。對此，筆者進行了一番驗證：

　　1、使用OPPO Find 7的NFC功能感應(yīng)招商銀行IC借記卡，僅顯示銀行卡卡號末四位、使用次數(shù)和身份證號首末位，交易記錄無法查詢;

　　2、使用三星GALAXY S3的NFC模塊識別IC借記卡，支付寶彈出手勢解鎖界面，卸載支付寶后，手機無法識別銀行卡;

　　3、使用索尼Xperia Z1 Compact的NFC模塊識別農(nóng)業(yè)銀行IC借記卡，支付寶成功顯示完整卡號和近期銀行交易記錄。

支付寶完整顯示了借記卡卡號和詳細交易記錄

　　從試驗中，我們已經(jīng)成功證明了上述事件的真實性，這確實是IC芯片卡的一大漏洞，給用戶資金安全埋下了安全隱患?？吹竭@篇文章的用戶不妨自行對銀行卡進行測試，若發(fā)現(xiàn)儲蓄部分的詳細信息可以讀出，請務(wù)必到銀行進行更換。持傳統(tǒng)銀行卡(無IC芯片及卡面上不帶有“閃付”字眼的銀行卡)的用戶則無需擔心。

　　IC漏洞不是手機的錯，錯在銀行

　　手機上的“NFC”即近場通訊技術(shù)，與公交車上的刷卡機原理基本一致，其本質(zhì)作用是讀取卡片芯片內(nèi)的數(shù)據(jù)，對數(shù)據(jù)內(nèi)容沒有主動選擇性。另一方面，支付寶在這一事件中充當了“解碼器”的角色，將卡片數(shù)據(jù)轉(zhuǎn)化為我們看得懂的卡片信息。以上兩個環(huán)節(jié)均不能對敏感信息進行屏蔽，而唯一能做到“硬屏蔽”的，只有發(fā)行IC芯片卡的銀行。

　　公交IC卡為非記名、無掛失卡片，不會存儲任何用戶信息，同時會有儲值上限，因此即使丟失也僅是小額的資金損失，個人隱私不會泄露。而從我們的試驗中發(fā)現(xiàn)，銀行借記卡的IC芯片竟然連卡號和身份證號也儲存了進去，這是銀行在發(fā)行IC儲蓄卡時沒有考慮到的問題。

　　除了電子余額(即可以像公交卡一樣用于小額消費的金額部分)、IC串號和通過無記名方式產(chǎn)生的交易記錄外，其他信息必須只能儲存在銀行卡傳統(tǒng)的磁條中，這樣才能保證其他人不會通過手機NFC輕易獲取銀行卡的敏感信息。因此，這一問題并不是某個手機的錯，而是銀行的疏忽。這一事件提醒銀行必須把IC卡片的完善工作提上日程，把用戶隱私和資金安全擺在第一位。

　　相關(guān)問題：

　　1、會不會有人拿著NFC 手機從大家身邊擦身而過，把大家的銀行賬號都讀走?

　　答：“擦身而過”略顯夸張，NFC識別至少需要卡片穩(wěn)定地接近手機感應(yīng)區(qū)域一小段時間(大約不到1秒鐘)，不過只要滿足了“停留一段時間”這個前提條件，哪怕隔著皮包，陌生人的手機都可以識別到其中的信息，就像很多人直接用手提包刷公交卡一樣。一旦銀行卡IC芯片存在漏洞，安全風險是非常大的;

　　2、沒有NFC功能的手機會不會同樣刷得出ic卡記錄?

　　答：不會，僅有NFC模塊可以識別到IC磁性信息，手機的其他部件均不具備該功能;

　　3、如何防范?以后如何改進?

　　答：用戶首先要先驗證一下自己的銀行卡是不是存在這樣的問題，若“不幸中槍”，一定要找銀行更換卡片。除此之外，我們要妥善保存銀行卡，放在錢包、書包內(nèi)側(cè)等比較深入的位置，讓NFC無法穿透。在進行IC支付時，要確認賣家的收款設(shè)備是否正規(guī)，銀聯(lián)有推出”閃付“的IC支付業(yè)務(wù)，要認準”閃付“的品牌Logo。對于改進，我們只能希望銀行自身提起足夠重視，給用戶一個滿意的答復了;

　　4、對于NFC，會不會根據(jù)這個來監(jiān)控家人收入呢?沒準會成一個防止出軌的利器啊……

　　答：雖然這個問題有點……但是按照上述漏洞推斷，在某些情況下確實可以做到。不過筆者告誡大伙，家庭和諧才是第一位哦!