“移动支付与手机病毒的爆发呈现高度相关性，随着移动支付成主流，支付类病毒呈逐月上升趋势，此类病毒往往迷惑性高，多与应用程序捆绑传播，让广大的用户防不慎防。”近日，由腾讯安全联手中国人民大学共同发布的业界首个《2014年度互联网安全报告》，全面揭示了手机病毒尤其是移动支付威胁爆发情况。这一研究成果的展示或为2015年防范手机端病毒尤其是移动支付威胁提供了有效指引。
全面揭示移动支付类病毒爆发路径
从2014年1-11月的增长情况来看，手机支付类病毒包数总量呈逐月上升趋势，但增长的速率在不断下降，2014年9-11月的手机支付类病毒包数量较年初翻了近三番，这主要是因为手机移动支付呈快速增长的结果。
《报告》指出，2014年7-11月支付类病毒包出现了增速逐月下降的趋势，主要是上半年的集中爆发被新闻媒体报道后引起了软件提供方和用户的警惕。如2014年6月，央视《消费主张》报道了人们日常使用的无线网络存在巨大的安全隐患。在节目中，央视和安全工程师在多个场景实际测验显示，火车站、咖啡馆等公共场所的一些免费WIFI热点有可能就是钓鱼陷阱。同时，安全企业也加强了针对移动支付的防护措施，如腾讯手机管家也在年中推出了“移动支付安全专版”。
2014年支付类手机病毒总体呈现上涨趋势，在五月份达到新增峰值
从传播渠道上来看，手机支付类病毒的传播渠道十分多样，其中电子市场(21.1%)、手机论坛(19.5%)和软件捆绑(15.9%)是支付类病毒传播的三大渠道。目前的手机系统主体是安卓系统，但由于安卓系统的开放性，很多病毒都是打着应用程序的幌子，让用户防不胜防。
综合前三种传播渠道，可以看出，许多应用软件在电子市场和手机论坛遭二次打包篡改，暗含山寨支付代码或广告插件，许多恶意推广、支付类病毒往往会在后台私自下载安装包，消耗用户资费流量，偷盗用户的银行金额，这相对于电脑端的病毒，可能对于用户来说是更加难以察觉的。
《报告》指出，未来ROM内置及二维码这两种染毒渠道风险将进一步加大。许多手机往往在出货前就已经刷机或者内置了各种流氓软件，而这些刷入或内置ROM的恶意软件包一般很难用常规手段卸载或清除;而二维码的流行，利用二维码进行病毒传播趋势也在逐步增强。报告提醒手机用户不要见码就扫，最好安装具备二维码恶意网址拦截的手机安全软件进行防护，或者安装带有安全识别的二维码工具进行二维码扫描。
集中剖析移动支付病毒中招用户群体特征
从2014年感染支付类病毒的手机用户情况来看，感染用户总量呈持续上升趋势，其中增幅最大的时间段出现在7-9月，这与上半年手机支付的普及与推广有密切关系。随着下半年购物季的集中到来，第四季度是支付类病毒感染重灾区。
而从中毒用户分布地域来看，中毒用户省域多集中在电子商务集散地，广东是支付类病毒的重灾区。支付类病毒中毒数量最多的省份分别是广东、河南、浙江、北京、江苏，与手机整体中毒数量的地域分布呈现出高度的一致性。
中毒数量最多的几个地区具备的共同特征是：都是人口大省，经济比较发达，尤其是电子商务十分发达，广东所处的珠三角地带、江苏浙江所处的长三角地带以及北京都是电商的集散地;从全国城市分布来看，上海是资金受损的人数最多的城市，接下来是长沙、深圳、福州和北京等发达城市，这种环境成为支付类病毒滋生的温床。而支付类病毒销赃途径也往往集中在虚拟游戏币、实物充值卡、实物门票和实物礼品卡。
三类典型支付诈骗案例须提防
《报告》引述财付通风险管理中心根据2014年流行的网络诈骗形式及特点，整理出网上支付安全典型诈骗案件及应对策略，提醒广大网民在面对诈骗案件发生时该如何处理。
1 、木马短信诈骗： 骗子通过发送类似“卡内积分满多少，可以赠送话费”的短信内容，诱骗用户点击“10086”发送的短信中的虚假链接中木马，待用户输入个人信息(银行卡，身份证，手机验证码)后银行卡资金即被盗。这是2014年骗子较爱用的短信诈骗手段，手机中木马后续所有交易的验证码均会被转移。
由于信用卡消费积分达到一定金额可以兑换相关礼品或话费，通过点击链接进行领取也是比较普遍的做法，因此可信度也比较高，很多用户容易上当。财付通安全中心提醒广大用户，兑换积分活动，一般返现的额度都较小，如果给的额度较大都是骗子信息。建议不明链接不要点击，或者回拨10086确认是否有该活动，或者安装专业的手机杀毒软件，来自动拦截木马，例如腾讯手机管家。
2 、退款诈骗： 用户在电商网站上购买的商品信息被泄露，收到骗子假称电商网站客服的来电，说系统异常，要帮用户进行退款，因骗子跟用户核对购买的订单信息完全一致，客户放松警惕。这类型的诈骗案件也是很多受害人遇到过的典型案例，用户不可不防。
这类骗子非常专业，过程中全部都是用电话进行沟通，用户并未有去点击什么链接，直到用户最后告知手机验证码给到骗子后导致被盗。财付通安全中心提醒用户，在接到这类电话，一定要与对方在该类网站的沟通工具上沟通，且切记不要告知任何人验证码，客服是不会问用户要取验证码信息的。
3 、银行卡信息变动诈骗： 骗子自称是在当地代办信用卡业务或者提升信用卡额度的人员，诱骗用户需要把钱存入储蓄卡内这样才能申请更大额度的信用卡，把预留手机号填写骗子手机号方便给骗子提供资料。用户因急需用钱所以留下个人资料且添加骗子的手机号码导致资金被盗。
针对这种情况，财付通安全中心提醒广大用户，需要注意个人身份信息保护。手机验证码是资金被盗的关键信息，任何情况下，不要把自己的银行卡绑定他人的手机号码。此外，建议开通余额提醒功能，如收到银行短信告知有非本人操作的业务变更行为，请及时联系银行核实近期是否有不明交易，确保及时发现可以交易，阻止更大的资金损失发生。
安全专家指出，随着手机越来越成为用户身体的一部分，使用频度和功能角色更加复杂多元，移动端口面临的安全威胁正逐渐加大。《2014年度互联网安全报告》理性科学的展示安全行业面临的情况及问题，梳理用户特征及分析中招背后的原因，为2015年的安全工作提供了防范思路。
（新闻稿 2015-02-05）
