被骇难免,关键是如何应对

Stock photo of the Business Man with a credit card by rupixen

今年7月23日我收到Prestashop的电邮,通知我发现安全漏洞。这是我在用的电商系统,由法国公司开发,全球约有30万商家在用。据电邮陈述,19日下午两点收到会员警惕漏洞可能存在,当晚十点内部工程师已全面了解问题所在。

至于是什么问题,电邮也详细说明了,骇客可从漏洞注入恶意软体骑劫整个网站。20日早上报告写好,也包含解决方案,也向执法单位呈报了。26日我收到另一封电邮说于25日已经发布补丁,修好了漏洞。整个事件前后七天完结。

且来比较一下看本地主要支付平台iPay88如何处理危机。8月11日它发的文告并未明确说何时发现问题,但于5月31日“引进网路资安专家”调查;后来补救成功,7月20日以后没再发现可疑活动。此外,它已实行几项新措施增强资讯安全。从五月尾到七月中,iPay88耗了两个多月处理危机,拖到八月才发文告,和Prestashop的速度有天渊之别。


iPay88官网上短短的文告没有明确地解说技术问题何在,也未明言新的资安措施为何。还有一点甚是耐人寻味,为什么它需要“引进网路资安专家”协助?根据2020年11月在The Edge的赞助报导,iPay88市占率达五成,每月处理3千万笔交易,总值25亿令吉。如此看来,少说也有百万用户的金融资料在其平台来往,不是早该内聘了宇宙最强工程师吗?

我其实不太在意资安漏洞本身,小至Prestashop,大至英代尔、微软、脸书都发生过毛病,我几乎每年都会收到从不同公司发来的资安通知。软件是人写出来的,不是上帝,难免会有bug。绝大多数时候他们都透明化地火速处理,告诉用户发生什么事、该怎么应对,比如更换密码。尽管资安漏洞不应发生,但并非无可原谅。

难以原谅的是市场上有那么多好榜样可学习,iPay88还能拖延那么久才让事件曝光,消费者该生气的是这点。至于信用卡资料泄漏倒不那么叫人害怕,因为我国信用卡过账都需要双因素认证,盗用不易。只要你有每月检查账单的习惯,若发现可疑开销可及时投诉,信用卡公司会优先保障持卡人。

这事件给我们最重要的省思是:如果在我国市占率达五成的主要支付平台资安意识只有这样,危机处理能力也只有这样 ,那么占另外五成的其他支付平台又会是什么状态呢?对他们来说这事件是当头棒喝吗?他们现在是冒着冷汗彻夜无眠地检查系统安全,还是cincai着维持现状过日子?

2022.08刊于南洋

喜欢吗?请帮忙分享!

周若鹏

更多好文章,请关注我的社媒。

订阅电子报。

类似文章