保障2025年开放金融安全：金融机构必备洞察

Chad Davis首席行业营销经理 | F5

2025年，由银行、金融科技公司、支付服务商和第三方服务商互联形成的生态系统已成为行业常态，并从根本上重塑全球金融服务格局。在API的推动下，随着账户持有人对无缝、个性化金融体验的需求不断增长，以及数据共享等AI用例日益普及，开放金融持续发展。

遗憾的是，随着金融系统的互联程度不断提高，安全风险也呈指数级增长。开放金融生态系统之所以具有吸引力，正是因为它具备数据共享、第三方协作和更高的可访问性等特性，而这些特性也使其更容易受到攻击。

要在2025年脱颖而出，金融机构必须采取积极主动、严密周全的安全策略，应对开放金融带来的独特挑战。下面将探讨主要风险，以及增强开放金融生态系统未来韧性所需的可行措施。

2025年开放金融面临的关键安全风险

随着金融服务生态系统日趋成熟，某些安全挑战可能会成为尤为突出的潜在漏洞。以下是机构在2025年必须应对的三项紧迫开放金融风险。

1. API漏洞

API是开放金融的核心。它们促进银行、金融科技公司和第三方应用之间共享金融数据，让消费者能够轻松使用创新服务。然而，API也是敏感系统的“入口”，因此成为攻击者的主要目标。

主要威胁：

• 保护不足的API可能使攻击者得以截获或窃取敏感数据。
• 注入攻击、对象级授权失效（BOLA）或身份验证不当等漏洞利用行为，可能使未经授权的人员得以访问客户账户或金融系统。

2. 第三方风险

JPMorganChase网站近期发布了一篇技术博客，题为致第三方供应商的公开信。该公司的首席信息安全官（CISO）在文中表示：“我们正处于关键节点。供应商必须立即重新调整安全工作的优先级，将其置于与新产品发布同等或更高的位置。”开放金融依赖的正是这类第三方提供商（TPP）网络。TPP与金融机构之间的协作和合作关系在推动创新的同时，也为攻击者增加了入侵点。任何一家合作伙伴的系统中存在安全漏洞，无论多么微小，都可能危及整个生态系统。

许多金融机构现在会在网站上发布风险提示，提醒消费者谨慎使用聚合服务商等第三方提供商（TPP）的服务，因为这可能带来相关风险。这些提示告知消费者，共享凭据违反其协议条款，金融机构不对因共享凭据而造成的任何损害承担责任。

主要威胁：

• 未经充分审查或未达到合规标准的供应商可能会引入漏洞，使用户容易在系统内遭到利用。
• 授予第三方开发者的访问权限过大，可能会导致敏感财务数据或功能暴露。

3. 个人信息保护相关问题

在多个平台之间共享消费者敏感信息（例如金融交易记录和账户余额）是开放金融的一项基本要求。此类数据共享为新服务提供了基础，但也增加了数据泄露和滥用等威胁的风险。此外，消费者期望获得更有力的数据隐私保护，并遵守欧盟《通用数据保护条例》（GDPR）、《支付服务指令2》（PSD2）等法规，以及健全的开放金融相关API标准，例如金融数据交换（FDX）。

主要威胁：

• 因加密措施不足或共享方式不当而导致的数据泄露。
• 未能保护消费者隐私而造成的法律和声誉损失。

2025年开放金融保护关键指南

金融机构需要将安全置于首位，以有效管理这些风险，并为开放金融奠定坚实基础。以下是两项重要建议。实施这些建议还有助于金融公司通过更强的加密、更严格的身份验证和更精细的访问控制来保护个人信息。

1. 增强API安全性，应对不断演变的威胁

API是开放金融的核心，因此应优先保护API。保障API安全可确保金融服务机构、第三方和最终用户之间连接的完整性。

加强API安全的可行措施包括：

• 严格的身份验证策略：采用OAuth2.0、双向TLS等开放身份验证行业标准或其他强身份验证协议，对API用户进行身份验证，防止未经授权的访问。
• 实时监控：使用相关解决方案，在异常API活动或潜在滥用升级之前加以识别。建议考虑采用支持基于代码和流量的发现与检查，以及外部攻击面评估（域名扫描）的解决方案。
• 简化治理：采用有助于管理API清单的解决方案，例如将新发现的API轻松添加到清单中。此外，还应纳入API合规性分析，并通过自动警报更好地跟踪合规状况的变化。
• 加密标准：所有API流量都应使用TLS 1.3等协议进行加密，以确保数据在传输过程中受到保护。
• 定期测试：定期开展渗透测试，以识别并修复API架构中的漏洞。建议考虑支持在运行前进行API测试的解决方案。

洞察：API可能会推动开放金融背后的创新，但也最容易遭到利用。应像对待任何关键数字产品一样对待API：持续监控、保护和优化API。建议考虑采用具备全面运行时防护能力的解决方案，例如WAF、API保护规则、速率限制和数据防护。

2. 评估第三方关系并持续监督

开放金融涉及第三方，因此金融机构需要与接入其系统和数据的供应商及开发者协作。确保这些合作关系安全可靠，对于降低整体风险至关重要。

保护第三方合作关系的可行措施包括：

• 严格审查：在引入金融科技合作伙伴或第三方供应商之前，开展全面的尽职调查。评估其安全协议、合规记录和技术认证。
• 实时监控：采用相关工具监控API生态系统中的第三方活动，并标记未经授权的操作或异常行为。
• 精细化访问控制：将第三方的数据访问范围和访问级别限制在履行其职能所需的“最低必要”范围内，从而降低权限过度授予带来的风险。
• 合同安全条款：通过明确的合同协议巩固合作关系，要求定期开展审计、明确安全事件责任，并遵守贵公司的安全标准。

洞察：开放金融生态系统的安全性取决于其中最薄弱的环节，而在许多情况下，这一环节往往是第三方合作伙伴。对所有供应商关系采用“信任但要验证”的框架。

构建具备长期韧性的开放金融生态系统

2025年，开放金融已成为金融服务的核心支柱，因此投资更强大的API安全解决方案至关重要。金融机构若能从现在起优先实施全面的API保护和严格的第三方风险管理，将更有利于在互联程度日益提高、不断创新但也更易面临风险的生态系统中取得成功。银行和金融机构以信任、合规与安全为基础，便能更有信心地释放开放金融的全部潜力，为客户提供更顺畅、更安全的体验。

详细了解如何更好地保护开放金融生态系统，并了解F5产品如何帮助贵组织更有效地实施应用安全策略，实现超越软件漏洞测试的360°防护。

关于作者

Chad Davis首席行业营销经理 | F5

Chad Davis 的更多博客文章