歐盟網路與資訊安全局發布「行動支付與電子錢包安全防護」報告

　　為因應探討並強化網路安全環境，歐盟網路與資訊安全局（European Union Agency for Network and Information Security , ENISA）2016年12月發布「行動支付與電子錢包安全防護」研究報告（Security of Mobile Payments and Digital Wallets）。歐盟網路與資訊安全局ENISA主要係因，近來行動支付興起，利用行動支付方式買賣貨品，係象徵著朝向數位化轉換趨勢，消費者希望透過更便捷的方式購物避免帶著實體錢包和一堆卡片，增加購物的不便。但是使用電子錢包和行動支付並非全然沒有安全疑慮，根據2015年的一項調查，有百分之20的美國消費者對於行動支付的過程中可能遭到有心人士擷取個人資料，這就表示此乃使用行動支付的主要擔心重點，有13%使用者擔心自己的電話遭到駭客入侵。此外根據另一項調查，針對九百名資安專家所做的調查顯示，僅有23%的的人員認為目前現有的安全機制足以防範個資外洩，但有47%的人員認為現有的機制缺乏安全性，但當中也有百分之30的回覆認為現在的安全機制是否安全不能確定。因此，目前而言，安全防護可謂是消費者最關心的重點，且對於安全的疑慮亦使得行動支付沒有辦法大量推行採用。

　　因此歐盟網路與資訊安全局ENISA於此報告提出了目前經確認的主要威脅有：

1. 行動用戶的安全威脅：任意裝設惡意軟體、釣魚軟體、社交工程軟體。
2. 行動設備威脅：行動設備遭竊或遺失與不當近用。
3. 行動支付與電子錢包威脅：逆向工程、竄改支付軟體、使用在滲透到系統之後，會隱藏登錄項目、檔案或處理序等資源的一種軟體。
4. 消費者威脅：POS惡意軟體、MiTM、重放攻擊。
5. 付款服務提供者威脅：付款系統與資料連結崩潰的疑慮。
6. 支付網路提供者威脅：代碼服務崩潰、拒絕服務。
7. 發行商威脅：付款授權流程崩潰與代碼資料崩潰。
8. 行動支付軟體提供者威脅：機敏個資外洩、雲端客戶資訊管理遭到入侵、代碼服務拒絕。

　　因此有鑑於行動支付產業目前仍在新興階段，欠缺明確標準，業者間的自主管理顯得相當重要，所以網路與資訊安全局ENISA提出了一些得以遵循的建議與標準：

1. 消費者在使用行動支付的服務軟體時，必須採取多項最低安全防護措施。
2. 行動主機提供業者應該確保軟體定時更新，並且修補安全上的漏洞，針對安全性與近用用戶資料的可能性部分加強。
3. 行動支付的應用程式提供者，應該再提供服務給消費者時，同時提供消費者資訊，本應用軟體做了何種安全防護，供消費者知悉。
4. 行動支付業者應當建立詐騙監控機制。

　　網路與資訊安全局ENISA提出上述建議與標準，主要係希望業者採用這樣的標準或好習慣的建議後，可以對於消費者、零售商、銀行等業者產生益處。

相關連結

• Cyber security key for the successful adoption of mobile payments, ENISA
• Security of Mobile Payments and Digital Wallets, ENISA