PTT職涯區 / Soft_Job (軟體人)

[新聞] 資安國安雙崩盤！銀行券商總體檢　驚爆官網竟遭埋SDK

看板Soft_Job (軟體人)作者 (塞拎拔咧)時間1月前 (2024/10/11 16:31), 編輯推噓28(29推 1噓 44→)
留言74則, 45人參與, 1月前最新討論串1/1
機敏個資流中國1／資安國安雙崩盤！銀行券商總體檢　驚爆官網竟遭埋SDK https://www.setn.com/News.aspx?NewsID=1544856 近年來，資安問題成為全球金融市場的焦點，日前多家金融機構因資安漏洞遭金管會開罰 。《三立新聞網》記者接獲爆料，一家剛大肆宣傳自家獲獎的金融機構，其官方網站使用 的數據分析SDK碼（備註1），竟源自於一家註冊在中國北京市政府的數據公司。進一步調 查全台前十大金融機構後，發現至少3家銀行、券商疑似面臨相同危機。這次事件凸顯台 灣金融機構在資安管理上的重大挑戰，尤其該SDK具備強大追蹤能力、能蒐集客戶交易數 據，若數據回傳北京，恐對台灣數據安全與金融機構信譽造成嚴重影響！《三立新聞網》 記者循線一一追查，並找來了資安專家A大，一同揭露這件原來早就被金融業內精英熟知 ，但外界卻毫無所悉的極機密內幕！ 只見A大熟練地拿出電腦，先是打開最普通的瀏覽器，輸入該家一開始被爆料的金融機構 網址，進入其官網後，再打開後台的應用程式，意外發現網頁程式碼最底層，藏著一串由 英文字母及數字組成的代碼「SensorsData2015jssdkcross」。 看到這串碼「sensorsdata2015jssdkcross」，連A大都很震驚，他帶著疑惑一邊對著《三 立新聞網》的記者：「SensorData的SDK怎麼可以埋在這裡？！Sensors data是大陸的一 家公司，在我們（資安）業內非常有名。」 A大接著說，雖然跑出來的資料顯示，這SDK存放在地端，資料會回傳給該金融機構，「但 這串碼的背後，有沒有被設後門，資料會不會因為後門同步傳回北京，這都是很難說的呀 ！這家金融機構怎麼可以使用由一家北京公司寫出來的程式碼？這有問題吧！」 開無痕模式　SDK也能追 更可怕的是，當A大展示了這串程式碼給記者看後，不經意地說了一句話，記者聽完後深 深吸了一口氣，整個人甚至起了雞皮疙瘩。A大說：「這個SDK碼，是連在無痕模式下，都 能有效追蹤的！」 也就是說，即便你使用「無痕模式」去到銀行、證券存匯款或做股市下單交易，同樣會被 這家SensorData公司的SDK碼追蹤到，可以說是完全無處可逃。 A大再打開另一個軟體來驗證，對應後台跑出來的技術分析之處，其顯示出來的公司名稱 也仍是Sensors Data，該軟體還法楚地把該公司的品牌logo顯露出來，是一個綠字寫著大 大的S。不只Sensors Data有埋設SDK碼，連Google的GA（ Google Analytics）也有受託 埋設追蹤在此。Ａ大表示：「這很奇怪，既然這家金融機構已經委託了Google，為什麼還 要讓SensorData的追蹤碼入列，等於重工了！而且SensorData對台灣來說，又是一間相當 敏感的公司！這兩面手法玩得實在讓人摸不清頭緒！」 《三立新聞網》記者調查，從A大使用的另一個軟體驗證出來的logo，與中國大陸一家名 叫北京神策的公司logo完全符合，而且該公司於微信（wechat）公眾號即為 sensorsdata2015。另，記者也找到了該公司在網路上，教導旗下學員如何將「 sensorsdata2015jssdkcross」應用於cookies的心法教學，並有詳細的操控步驟SOP可遵 循。 備註1：所謂的SDK（Software Development Kit，軟體開發工具包）是許多網站或應用程 式為了方便進行數據分析而使用的工具，能夠收集用戶的行為數據，並傳回到後台系統進 行分析。全球知名的Google公司，其用來做數據分析的GA，使用的正是SDK追蹤碼。然而 ，這些數據可能不僅僅回傳到該金融機構的伺服器，還有可能被傳回中國境內的伺服器， 這對於用戶隱私及國家數據安全構成了潛在的重大風險。 －－ 吐槽點太多了以至於無法分辨是不是反串。 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 101.12.162.137 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/Soft_Job/M.1728635518.A.7E2.html
推
10/11 17:11, 1月前 , 1F
A大牛逼
10/11 17:11, 1F
→
10/11 17:32, 1月前 , 2F
所以是哪間金融機構啊？
10/11 17:32, 2F
→
10/11 18:22, 1月前 , 3F
神策官網沒顯示這家了 以前銀行證券都在合作夥伴上
10/11 18:22, 3F
推
10/11 18:29, 1月前 , 4F
SDK新解~~XD
10/11 18:29, 4F
→
10/11 19:01, 1月前 , 5F
無痕下單感覺很強，連券商都不知道是誰下的單
10/11 19:01, 5F
推
10/11 20:09, 1月前 , 6F
連結消失了耶？記者怎麼會發現這篇在胡扯一通？XDDDD
10/11 20:09, 6F
推
10/11 20:30, 1月前 , 7F
政府販賣恐懼 鞏固政權 XD
10/11 20:30, 7F
噓
10/11 20:38, 1月前 , 8F
set 的新聞, set 的新聞
10/11 20:38, 8F
→
10/11 21:40, 1月前 , 9F
整篇看不懂在寫三小，為了販賣恐懼寫出這種垃圾新聞
10/11 21:40, 9F
推
10/11 22:24, 1月前 , 10F
所以哪間？
10/11 22:24, 10F
→
10/11 22:25, 1月前 , 11F
話說連結484掛了
10/11 22:25, 11F
→
10/11 23:37, 1月前 , 12F
政府資安比較嚴格是正常
10/11 23:37, 12F
→
10/11 23:43, 1月前 , 13F
當劇本在寫XD
10/11 23:43, 13F
→
10/12 00:58, 1月前 , 14F
整篇看不懂+1
10/12 00:58, 14F
推
10/12 01:01, 1月前 , 15F
刪文了喔? 今天早上看到這篇就覺得翻車機率很大
10/12 01:01, 15F
推
10/12 01:02, 1月前 , 16F
神策很有名啊 是那個傻子硬要報
10/12 01:02, 16F
推
10/12 02:39, 1月前 , 17F
笑死 這樣下架484有打到自己人
10/12 02:39, 17F
推
10/12 05:29, 1月前 , 18F
遭埋 sdk... 臺灣記者真的太好當了
10/12 05:29, 18F
→
10/12 06:59, 1月前 , 19F
三立 顆顆
10/12 06:59, 19F
推
10/12 10:08, 1月前 , 20F
垃圾新聞
10/12 10:08, 20F
推
10/12 10:41, 1月前 , 21F
記者不會自己知道什麼SDK什麼JS啦....八成是這個不知道哪
10/12 10:41, 21F
→
10/12 10:41, 1月前 , 22F
來的半桶水工程師「A大」跑去找記者的
10/12 10:41, 22F
推
10/12 12:16, 1月前 , 23F
真是媒體製造業..
10/12 12:16, 23F
推
10/12 13:13, 1月前 , 24F
勒公三小
10/12 13:13, 24F
推
10/12 13:31, 1月前 , 25F
我還以為到股板
10/12 13:31, 25F
→
10/12 14:13, 1月前 , 26F
呃...20幾年前的政爭抹黑文的程度
10/12 14:13, 26F
推
10/12 14:51, 1月前 , 27F
又是set的嗎？XD
10/12 14:51, 27F
推
10/12 15:27, 1月前 , 28F
三小A大，XD
10/12 15:27, 28F
→
10/12 16:21, 1月前 , 29F
用小動物造謠的概念
10/12 16:21, 29F
推
10/12 19:11, 1月前 , 30F
10/12 19:11, 30F
→
10/12 19:11, 1月前 , 31F
這個A大
10/12 19:11, 31F
推
10/12 20:04, 1月前 , 32F
防火牆很難攻破.jpg
10/12 20:04, 32F
推
10/12 21:59, 1月前 , 33F
笑死
10/12 21:59, 33F
推
10/12 22:12, 1月前 , 34F
A大是哪裡畢業的 講出來給大家笑一下
10/12 22:12, 34F
→
10/12 22:34, 1月前 , 35F
SDK 三小 記者現在連 Google 都不會了嗎==
10/12 22:34, 35F
推
10/12 23:26, 1月前 , 36F
前端的數據分析 GA 啊這到底是在怕三小 還以為是伺
10/12 23:26, 36F
→
10/12 23:26, 1月前 , 37F
服器端，無痕模式就不會做數據分析嗎
10/12 23:26, 37F
推
10/13 01:19, 1月前 , 38F
ncc真的是死人，這種摧毀國家金融信任的叛國行為都不用停
10/13 01:19, 38F
→
10/13 01:19, 1月前 , 39F
牌
10/13 01:19, 39F
→
10/13 02:58, 1月前 , 40F
其實不能說埋前端就沒事拉,誰知道 data 有沒有 encrypt
10/13 02:58, 40F
→
10/13 03:00, 1月前 , 41F
不過現在都走 oauth 不應該能取得任何機敏資料
10/13 03:00, 41F
→
10/13 03:01, 1月前 , 42F
但是我必須說 現在卷商的開戶網頁寫的是真的很陽春
10/13 03:01, 42F
→
10/13 03:02, 1月前 , 43F
有一次開戶完,因為過程太粗糙怕是吊個資網站,我就把網頁
10/13 03:02, 43F
→
10/13 03:04, 1月前 , 44F
endpoint 拿掉,居然能到路由路口....後來隔天跟卷商確認
10/13 03:04, 44F
→
10/13 03:04, 1月前 , 45F
才放心這個不是釣魚網站 不然那粗糙程度真的很像詐騙
10/13 03:04, 45F
→
10/13 10:27, 1月前 , 46F
這工程師大概不知道有CDP這種的東西，以為有GA 公司
10/13 10:27, 46F
→
10/13 10:27, 1月前 , 47F
的其他團隊就不需要其他的系統
10/13 10:27, 47F
→
10/13 10:28, 1月前 , 48F
這類系統本來就是拿來收據客戶數據用的，架在地端的
10/13 10:28, 48F
→
10/13 10:28, 1月前 , 49F
目的就是資料不要送到人家的系統上 單純買授權用他
10/13 10:28, 49F
→
10/13 10:28, 1月前 , 50F
的軟體
10/13 10:28, 50F
→
10/13 10:30, 1月前 , 51F
我看下次如果新聞還硬要寫文，可以去開HPE伺服器上
10/13 10:30, 51F
→
10/13 10:30, 1月前 , 52F
面的iLO或DELL的iDRAC切成簡體中文 看會不會有資料
10/13 10:30, 52F
→
10/13 10:30, 1月前 , 53F
送回北京
10/13 10:30, 53F
→
10/13 10:32, 1月前 , 54F
有幾分證據就講幾分話 這種用猜的東西非常不可取
10/13 10:32, 54F
推
10/13 10:37, 1月前 , 55F
遭埋SDK這種標題都下 ..==
10/13 10:37, 55F
→
10/13 11:25, 1月前 , 56F
你怎會覺得記者會做
10/13 11:25, 56F
推
10/13 12:31, 1月前 , 57F
三立真的是笑死人
10/13 12:31, 57F
推
10/13 18:15, 1月前 , 58F
表示都沒有去查證新聞內容 唉
10/13 18:15, 58F
推
10/13 18:58, 1月前 , 59F
以台灣記者的程度，你覺得查證後他們看得懂？
10/13 18:58, 59F
推
10/13 22:34, 1月前 , 60F
完全看不懂在寫什麼，被埋SDK是什麼邏輯
10/13 22:34, 60F
→
10/14 08:15, 1月前 , 61F
我估摸著大多數文組記者連這詞的啥意思都不想查，看到沒
10/14 08:15, 61F
→
10/14 08:15, 1月前 , 62F
見過的詞就覺得很牛批，然後就發新聞稿了。wwwwwwwwwwww
10/14 08:15, 62F
→
10/14 11:17, 1月前 , 63F
把GA當免費的log服務用還不錯
10/14 11:17, 63F
→
10/14 11:31, 1月前 , 64F
除ga紀錄你商業行為外，如操作ui失敗導致客戶的跳
10/14 11:31, 64F
→
10/14 11:31, 1月前 , 65F
出也是網站很需要優化的部分，實作上做法很相似，
10/14 11:31, 65F
→
10/14 11:31, 1月前 , 66F
但分析重點可能完全不同
10/14 11:31, 66F
→
10/14 11:37, 1月前 , 67F
這串碼甚至估狗得到廠商，覺得做法上跟這記者講得
10/14 11:37, 67F
→
10/14 11:37, 1月前 , 68F
完全兩件事。想起以前也會看到新聞在橋樑工程看到
10/14 11:37, 68F
→
10/14 11:37, 1月前 , 69F
保麗龍，就說這是偷工的不專業報導很相似的
10/14 11:37, 69F
→
10/15 21:34, 1月前 , 70F
台灣記者比彭博小說家還猛XD
10/15 21:34, 70F
推
10/16 08:27, 1月前 , 71F
寫"埋程式碼"比較正確吧?
10/16 08:27, 71F
→
10/17 23:13, 1月前 , 72F
我是不太懂銀行規則啦 但是神策其實滿常見的
10/17 23:13, 72F
→
10/17 23:13, 1月前 , 73F
幣安也是有部分是用神策在分析 繞這塊打不知道在打殺小
10/17 23:13, 73F
推
10/22 23:05, 1月前 , 74F
A大他媽誰，資安社群大佬那麼多，想見識一下
10/22 23:05, 74F
‣ 更多 SilentBob 的文章
文章代碼(AID): #1d2E9-VY (Soft_Job)
Soft_Job 近期熱門文章
更多 近期熱門文章 >>
PTT職涯區 即時熱門文章
更多 即時熱門文章 >>
‣ 更多 SilentBob 的文章
文章代碼(AID): #1d2E9-VY (Soft_Job)