开放银行推动创新，也给金融机构带来风险

Angel Grant

短短几年间，开放银行通过开放API，让第三方能够基于银行、保险公司及其他金融机构提供的服务构建产品和服务，改变了金融服务格局。

利用现有金融服务产品在贷款、支付和保险等领域构建新服务的能力，让消费者能够更轻松地完成交易、管理财务生活并掌控个人数据。与此同时，开放API协议正在推动整个金融服务行业的创新，并为金融机构创造可观的收入来源。随着FDX API 5.0新版发布，该版本明确了API安全性、互操作性和性能标准；此外，欧盟PSD2的强客户身份验证（SCA）截止日期也即将到来，预计将带来更多创新和新的创收机会。

但机遇往往伴随着风险。开放API本身会向第三方开放内部数据和客户数据，使这些数据更容易遭到恶意行为者访问。对于Mint和Plaid等账户聚合服务商而言，这一点尤其值得关注。这些服务商为消费者使用现代金融服务提供了便利。继续阅读，了解恶意行为者如何利用聚合服务商攻击和欺诈银行、保险公司及其他金融机构。

风险加剧：聚合服务商和第三方支付服务商如何为凭据填充和账户接管提供可乘之机

金融账户聚合服务商可以为消费者带来切实价值，让他们通过一个界面全面了解自己的财务状况。它们还能减少交易阻力并创造新的收入来源，从而使金融机构受益。因此，许多金融机构在与聚合服务商连接时会放宽安全流程。但由于聚合服务商可能存储数亿个账户的数据，因此很容易成为恶意行为者的攻击目标，尤其是规模较小的聚合服务商，其资金和安全能力可能不及较成熟的同行。

与此同时，可供恶意行为者利用的被盗账户数据不断增加，助长了自动化凭据填充攻击。在此类攻击中，恶意行为者利用僵尸网络和被盗凭据尝试访问账户。这些攻击已成为金融机构面临的一大问题，造成严重的数据泄露和巨额经济损失。鉴于问题的严重性，美国联邦调查局（FBI）近期就凭据填充带来的威胁向美国金融业发出正式警告。

凭据填充攻击增加带来的最令人担忧的后果，是账户接管（ATO）事件增多。攻击者会控制已成功访问的账户，以欺诈手段盗取其中的资金。根据Javelin Strategy and Research发布的《2021年身份欺诈研究》，2020年ATO欺诈造成的损失总额超过60亿美元。

该调查还计算了凭据填充攻击的平均成本。令人震惊的是，这一成本可能超过月活跃用户所产生收入的6倍。

风险远不止于此，而且遗憾的是，其严重程度可能超出一些人的想象。恶意行为者知道，聚合服务商的流量不太可能被拦截，因此常将其用作侵入金融机构的后门。例如，2019年，金融服务巨头NCR Corp.发现，大量自动化账户接管攻击来自某些聚合服务商，因此不得不暂时阻止这些聚合服务商访问其数字银行平台。

金融机构向聚合商开放API，也会因引发或加剧流量激增而增加系统性能风险。部分原因在于，聚合商是开放银行API的主要使用者之一，其产生的流量占普通银行流量的20%。据FBI称，另一个因素是，凭据填充攻击可能给金融机构的身份验证系统带来巨大压力，以至于这些机构误以为自己正遭受拒绝服务攻击。

归根结底，开放银行使金融机构面临广泛且重大的风险。因此，F5正采取战略性方法，帮助金融机构管理开放银行API并确保其安全。

助力金融机构安全拥抱开放银行

F5已在一体化解决方案中提供API管理、高性能API网关和高级安全控制，具备行业领先优势，有助于减少工具泛滥并控制架构复杂性。

F5实时监控金融机构账户的登录尝试，帮助金融机构区分真实用户、机器人和自动化操作，以及人工发起的欺诈尝试。我们认为，这或许是美国资产规模排名前15的商业银行均采用F5解决方案的原因之一。目前，我们正通过创新扩展解决方案组合，为开放银行提供更全面的支持。

未来几个月，F5将围绕开放银行推出更多内容，重点涵盖更有效地管理来自聚合服务商的流量，以及防范API攻击等主题。

以我们的Aggregator Management产品为例，它可以帮助开放银行领域的F5客户更清晰地了解API流量，自动检测凭据填充和异常流量，并限制聚合商的内容访问权限。对金融机构而言，这意味着可以更精细地管控聚合商，更有效地保护消费者账户免受欺诈，提高应用可用性并降低风险。

敬请关注！同时，进一步了解开放银行面临的风险及其防范方法：

• 观看我们的网络研讨会《开放银行的趋势、挑战与机遇》，深入了解开放银行。
• 了解F5的Aggregator Management解决方案。
• 了解如何通过蓝图防范开放银行机器人攻击。
• 参加我们的威胁评估，了解当前API安全措施的有效性。
• 了解F5如何帮助组织防范ATO攻击，同时避免给用户带来额外阻碍。
• 了解Shape技术如何帮助一家北美排名前十的银行消除撞库攻击。

关于作者

Angel Grant

Angel Grant 的更多博客文章