蘋(píng)果“后門(mén)事件”、安卓“簽名漏洞”，掌上信息安全持續引發(fā)公眾關(guān)注。近日，又有多名讀者向本報反映，自己的手機有了“讀芯術(shù)”，不用密碼，也不用驗證，只要手機輕輕貼上芯片銀行卡，就能輕松讀取卡內的基本信息和最近10筆的交易記錄。
通過(guò)實(shí)驗與采訪(fǎng)銀行和手機安全專(zhuān)家，記者證實(shí)包括三星、HTC、小米在內的部分安卓手機確有這樣的“神奇”——只要開(kāi)通NFC功能，裝上支付寶錢(qián)包，就變身為“查賬神器”。
iOS和安卓?jì)纱笫謾C操作系統齊遭安全危機，智能手機帶給我們的便利，真要犧牲隱私來(lái)交換嗎？手機開(kāi)發(fā)的紅線(xiàn)，不應該是尊重和保護用戶(hù)的信息安全嗎？
手機一碰
曝光最近10筆交易明細
NFC(近場(chǎng)通信，NearField Communication)，簡(jiǎn)單來(lái)說(shuō)，就是一種近距離無(wú)線(xiàn)通信功能，可以允許電子設備之間進(jìn)行非接觸式的點(diǎn)對點(diǎn)數據傳輸和交換。
“NFC一直被拿來(lái)與藍牙做比較，如果說(shuō)藍牙是相親大會(huì )，你站在一個(gè)滿(mǎn)是姑娘的大廳里。那么NFC則是幽會(huì )，你只和離自己最近的那一個(gè)配對?！币幻謾C安全專(zhuān)家介紹，手機能夠讀取銀行卡的“秘密”，在于裝載NFC芯片的銀行卡信息，被支持NFC功能的手機讀取。
目前，三星主流手機都默認打開(kāi)NFC功能，記者找來(lái)一款用戶(hù)眾多的三星Note2手機實(shí)驗。打開(kāi)支付寶錢(qián)包應用，將一張中國銀行的芯片卡放在手機背面，“嘟”一聲后，不到兩秒鐘，支付寶讀取到銀行卡的卡號后四位數、電子現金余額、最近10次交易記錄。交易記錄包含交易日期、時(shí)間和金額，過(guò)程中不需要輸入任何密碼。
而使用另一個(gè)相對冷門(mén)的應用NFCard軟件，手機不僅能讀出銀行卡號，還能讀出有效期、交易次數、單筆上限、圈存上限和電子現金額等。
不同銀行卡讀出的數據不同，記者用中國銀行、交通銀行、招商銀行三張芯片卡，三張卡都能讀出電子錢(qián)包余額和最近10筆交易金額，除此之外，交通銀行能讀出卡號后4位、而招商銀行和中國銀行則能讀出全部卡號，招商銀行卡還能讀出身份證號的開(kāi)頭和末尾兩位。
手機掌握“讀芯術(shù)”，需要同時(shí)滿(mǎn)足三個(gè)條件：手機開(kāi)啟了NFC功能（目前蘋(píng)果手機不支持該功能，而主流的安卓系統手機大多支持，有些更是默認打開(kāi)）；手機里必須安裝有支付寶錢(qián)包等支付平臺；使用的銀行卡必須是帶有芯片的，而非傳統的磁條卡。
除了銀行卡之外，手機還能讀取公交卡的信息。
放進(jìn)錢(qián)包
銀行卡信息很難“讀”
手機“秒讀”銀行卡信息，很多人知情后大呼“太可怕”，“我的工資明細，手機比我老婆更清楚”。
更有人擔心，自己放在錢(qián)包里的銀行卡，是否會(huì )在擠公交車(chē)和地鐵時(shí)，被人故意讀取數據?！叭绻謾C開(kāi)著(zhù)這個(gè)功能，在公交或地鐵里貼近別人的錢(qián)包，別人銀行卡里的信息不就全都泄露了？”“銀行卡信息對個(gè)人來(lái)說(shuō)是‘最高機密’，竟然無(wú)需任何門(mén)檻就能讀出來(lái)，太不安全了?！痹谧C券公司工作的小張說(shuō)。
錢(qián)包里的銀行卡是否安全？記者再次實(shí)驗，將銀行卡塞入錢(qián)包放進(jìn)褲兜，然后將手機貼近，測試時(shí)變換了多種位置和角度，最后的結果是讀取失敗。不過(guò)，如果銀行卡不是放在錢(qián)包而是放在更輕薄的卡包里，那么銀行卡信息還是能輕易地被打開(kāi)NFC的手機讀取。
金山毒霸信息安全專(zhuān)家告訴記者，NFC的最大有效通信距離在4厘米左右，通常在2厘米左右。銀行卡放在普通挎包或背包里，和外界的距離基本會(huì )超過(guò)NFC的有效通信距離。此外，和磁條卡的“刷卡”操作不同，手機在讀銀行卡信息的時(shí)候，需要和卡片保持相對不動(dòng)。
專(zhuān)家釋疑
只被“偷看”不會(huì )被偷
盡管NFC手機可以讀取卡號和最近交易記錄，但如果想要更進(jìn)一步，目前還沒(méi)能做到，不會(huì )對賬戶(hù)的資金造成風(fēng)險。
記者實(shí)驗的銀行卡信息被讀取后，雖然屏幕上顯示可以“開(kāi)通快捷支付”，但因開(kāi)通快捷支付只支持實(shí)名賬號與銀行卡歸屬同一個(gè)人，因而該銀行卡目前不會(huì )被別人的賬號綁定。此外，銀行卡余額或支付寶密碼等都不能被讀取，也不可能向外轉賬、支付。
記者從上海多家銀行了解到，目前還沒(méi)有接到過(guò)因為NFC功能帶來(lái)安全問(wèn)題的投訴。
不過(guò)，萬(wàn)一用戶(hù)手機被植入病毒或木馬，不法分子會(huì )利用NFC功能惡意讀取銀行卡信息。公安部治安管理局的官方微博“公安部打四黑除四害”近期也連續發(fā)出針對這一現象的消費提醒，并且提出了安全建議：
不少手機在購買(mǎi)后，NFC功能就是默認打開(kāi)的，消費者在使用手機時(shí)，最好在第一時(shí)間關(guān)閉NFC功能，避免消費信息隱私暴露；
被讀取信息，別擔心資金盜刷。銀行卡綁定快捷支付有前提，支付寶的賬戶(hù)姓名必須和銀行卡持有人姓名一致，才能綁定；
妥善保管銀行卡，NFC功能有嚴格的距離要求，銀行卡芯片和手機之間的距離不能超過(guò)5厘米，而且NFC功能無(wú)法穿透金屬物。
銀行提醒
用戶(hù)手動(dòng)關(guān)閉NFC功能
記者隨后撥打了中國銀行、招商銀行和工商銀行三家的電話(huà)，得到的答復都是一樣，“手機所讀出的信息符合規范，銀行卡內的資金仍然安全?！?/p>
何謂規范？一位業(yè)內人士告訴記者，金融IC卡的制作、通信協(xié)議、數據存儲都是根據央行發(fā)布的《中國金融集成電路（IC）卡規范》執行的，安全方面已經(jīng)做過(guò)充分考慮。將賬號、交易記錄寫(xiě)入金融IC卡是該規范定義的，有效期、CVV、交易密碼等敏感信息，不會(huì )被寫(xiě)入到金融IC卡中。此外，將賬號、交易記錄等信息寫(xiě)入金融IC卡是可選的功能，由銀行在發(fā)卡的時(shí)候決定是否開(kāi)啟這些功能。如果銀行卡啟用了這些功能，這些信息就可以被NFC手機讀出來(lái)。
記者采訪(fǎng)后了解，金融IC卡是一種比磁條卡更安全的銀行卡，可以防止復制卡、偽造卡等引起的盜刷。目前，央行牽頭，各銀行正在逐步升級銀行卡，新發(fā)的銀行卡大部分已經(jīng)帶IC芯片。央行要求從2015年開(kāi)始，新發(fā)的銀行卡必須全部帶IC芯片，磁條卡將逐步退出歷史舞臺。
此外，記者還聯(lián)系到了支付寶的客服，對于NFC功能讀取銀行卡信息是否威脅個(gè)人信息安全的問(wèn)題，對方稱(chēng)“還在檢測中”，并且坦言，目前任何支持NFC的電子錢(qián)包手機軟件都可顯示出手機讀取到的銀行卡信息。
記者 程績(jì)
