AI时代，如何通过身份认证保障金融行业信息安全？

4月20日，美国知名银行SunTrust Bank宣布，发现一名离职员工可能盗取了超过150万名客户的数据，包括姓名、住址、电话号码和账户余额等重要信息，并将其卖给了一个犯罪组织。

据路透社报道，这名前员工早在6-8周之前就已完成了客户信息的下载。不法分子随时都有可能利用这些信息进行欺诈活动。SunTrust Bank表示，会为客户因欺诈而遭受的损失负责，同时，该机构正在主动通知这150多万名客户，并向所有客户提供免费的身份保护服务。

这个事件表明，由于身份保护工作做得不到位，即使已经离职的员工，也能对金融机构的信息安全构成很大威胁。首先，由于管理人员没有及时将离职员工的账户和对应的权限删除，导致前员工照样能登录相关系统；其次，员工也可能通过某种途径获知其他同事的账号密码，这样即使自己的账户在离职后被删除，也能登录其他人的账户；再次，在经济利益的驱使下，也不排除在职员工中有“内鬼”接应的可能。

多种风险因素威胁金融信息安全

由于金融数据涉及了巨大的经济利益，而且包含大量的用户个人隐私信息，所以成为很多不法分子眼中的肥羊，金融信息安全面临着多种多样的威胁。

 

对金融机构内部来说：人的因素，是信息安全最薄弱的环节，也就是前面提到的在职、离职员工的问题。目前，很多金融机构内部系统仍然用弱密码登录，导致身份被冒用的情况时有发生。而且，一旦出现问题，也很难进行安全追溯。

对用户来说：黑客可以通过撞库、木马病毒、暴力破解，或通过钓鱼网站、钓鱼邮件冒充正规金融机构，轻松窃取账号密码信息，盗取账户资金。另外，很多互联网金融应用为了充分整合外部资源，将API对外开放，很容易导致用户数据被第三方公司掌握与使用。

 

锦佰安科技SecID解决方案

对于以上问题，锦佰安科技自主研发的SecID身份识别系统均可轻松解决，为金融行业提供安全、便捷的安全防护措施。

一、对金融机构员工，进行统一身份管理

1. 账号全生命周期管理：SecID身份识别管理后台支持单个及批量用户的创建、修改、删除等操作，并对用户进行分组管理。为员工入职、岗位变动、离职等角色变更，提供一站式身份管理，避免因员工离职、权限不明带来的安全隐患。

2.安全审计，责任到人：SecID 身份识别管理后台的日志包括管理员操作日志，以及用户登录认证日志，日志中记录了用户、应用、操作时间、事件、安全设备等信息，方便安全审计和追溯，实现责任到人。

3. AI行为无感知身份识别，避免身份被冒用：金融机构员工通过SecID APP，确保只有本人才能执行相关操作。SecID能识别不同用户操作手机的行为特征差异，并依此进行精确的身份认证。

从原理上来讲，SecID通过手机中的多个传感器，多维度、多规则地收集用户日常登录的操作行为和使用习惯，然后利用卷积神经网络、循环神经网络、贝叶斯网络等方法，对这些特征进行持续深度学习，为每个用户单独建立识别模型，并与用户本人进行相似度匹配，即可对用户身份进行身份确认。而且，整个身份认证过程都是在用户无感知状态下完成的，完全不用改变用户操作习惯。

通过这些核心技术，SecID即可精确辨别当前操作者是否为用户本人，从而避免了身份被冒用的可能。

 

二、对C端用户，AI行为识别精准分辨用户本人

在相关的金融类APP上应用SecID AI行为无感知身份识别技术之后，同样能够在用户执行注册、登录、转账等敏感操作时，通过其在手机上的操作行为来判断身份。

上图为用户在手机端使用场景：登录、支付、关键操作

 

因为每个人的行为特征都存在明显差异，所以即使密码被泄露，也能保证账号安全，杜绝了弱口令、密码泄漏、撞库、钓鱼、暴力破解等恶意攻击。

 

结语

安全，是金融信息系统的生命。随着金融行业信息化程度的不断提高，信息安全保障工作的难度也随之持续增大。在人工智能时代，基于AI的行为无感知身份识别是大势所趋。作为国内领先的身份识别综合解决方案提供商，锦佰安科技将会进一步深耕金融行业的身份识别需求，为金融信息安全构筑坚实的后盾。