2021年5月11日

網銀OTP三重認證難擋釣魚攻擊

本報昨日報道，鑑於近期盜取個人網上銀行戶口資料活動趨增，騙徒甚至可破解銀行核實客戶身份程序，包括涉及一次性密碼（OTP）的雙重認證，銀行研究就網上及手機銀行高風險交易及操作，增發多一個一次性密碼的三重認證方式，或以人臉識別認證功能，減低客戶因個人銀行賬戶資料被盜而蒙受損失的風險。金融科技界人士直言，若是釣魚網站攻擊，無論發出多少個OTP，仍會被黑客竊取，而人臉識別才可真正提升保安程度，前提是銀行須採集客戶的臉容資料。

人臉識別可提升保安

亞洲金融科技師學會人工智能組主席陳穎峯表示，即使多發一個OTP，無論是電郵OTP，還是更強力的保安編碼器OTP，如果屬釣魚網站攻擊陷阱，受害人不論輸入多少個OTP，依然會遭黑客盜取。

他指出，多重認證的原則，是要求用戶輸入不同維度的資料，以加強保安度，包括驗證你知道什麼（what you know），例如用戶名稱和密碼；你有什麼（what you have），包括OTP、綁定手機、保安編碼器；你是誰（who you are），譬如生物特徵、指紋、臉容、聲紋。

網銀加入人臉識別，可增加一個保安維度，真正提升保安，但前提是銀行需要採集客戶的臉容資料，可能需要客戶到分行採集，或透過手機程式的eKYC做身份認證。若果人臉識別用的是手機系統內置的人面識別功能，那麼仍然是「你有什麼（what you have）」的維度；要有效提高保安度，需要使用銀行系統，比較資料庫內的客戶臉容數據，來執行人臉識別。