【2019年9月18 日香港訊】全球網絡資訊保安方案領導廠商趨勢科技（東京證券交易所股票代碼：4704）今天發表研究報告指出，歐洲最新的銀行法規可能大幅增加網絡黑客對金融服務機構及客戶的攻擊面。

這份最新研究詳細說明了歐盟「修訂版支付服務規範」(Payment Services Directive，簡稱 PSD2) 所帶來的影響，用戶在未來將對其金融資料擁有更大的掌控權，並可選擇是否願意將其資料與新一代的創新金融科技 (FinTech) 公司分享。這樣的概念正逐漸擴散全球，掀起了一股「開放銀行」(Open Banking) 的潮流。

趨勢科技網絡資訊保安長 Ed Cabrera 表示：「一直以來金融業都是網絡犯罪集團虎視眈眈的目標，PSD2 與開放銀行必將令黑客有更多機會竊取敏感的個人資訊和金融資料。我們擔憂的是，業界可能仍未完全做好準備面對大幅增加的攻擊面，所以我們才會事先深入了解相關的資訊保安風險，希望能協助金融科技公司和傳統金融產業預先做好相關資產的防護。」

這份報告針對新的法規環境提出了多種可能的攻擊情境：

• 針對 API 的攻擊：公開的程式開發介面是開放銀行的核心要素，這些 API 允許經過核准的第三方廠商存取用戶的銀行資料，以提供創新金融服務。然而， API 運作上的漏洞，卻可能讓黑客有機會進入後台伺服器竊取資料。
• 針對金融科技公司的攻擊：用戶將被迫信賴銀行的合作廠商，而這些合作廠商可能不像銀行那樣資源充足，對於資料保護也可能缺乏良好的實務經驗。在一項針對「開放銀行金融科技公司」的快速問卷調查中，趨勢科技發現這類公司的平均員工人數約在 20 人左右，且沒有專業的資訊保安人員。這些公司將是黑客攻擊的理想目標，其所開發的流動應用程式、API、資料分享技術以及資訊保安防護可能因未被落實而產生資訊保安缺口。
• 針對應用程式或流動平台的攻擊：絕大部分的開放銀行服務都會透過流動應用程式來提供，因此將成為黑客攻擊的首要目標。歹徒只要能取得這些應用程式的用戶名稱、密碼或加密金鑰，就能取得用戶的銀行資料，並以其身分進行交易。就算這些應用程式不提供支付功能，但還是會儲存一些交易資料，歹徒就能更精準掌握受害者的個人財務狀況。
• 針對用戶的攻擊：由於新的開放銀行應用程式將成為用戶存取金融資料與金融服務的首要方式，因此網絡釣魚攻擊很可能成為歹徒獲利的重要來源。

趨勢科技詳細剖析了金融機構該如何提升網絡資訊保安以對應最新的情勢變化，包括：絕不在網址中包含敏感資訊、優先採用安全的通訊協定、去除隱含風險的實務流程等等。

另一方面，現階段開放銀行應用程式開發商與擁有者必須採取融合資訊保安在設計內（secure-by-design）的做法，並定期執行軟件稽核。

欲進一步了解開放銀行最新規範的網絡資訊保安風險，請下載「準備面對 PSD2 了嗎：開放銀行的風險」完整報告：https://www.trendmicro.com/vinfo/hk/security/news/cybercrime-and-digital-threats/the-risks-of-open-banking-are-banks-and-their-customers-ready-for-psd2。