P2P平台遭遇“黑客劫” 暴露技术软肋

　　P2P（Peer To Peer）平台风生水起的同时，关注它们的不仅是投资者，还有一群神秘的黑客。网络黑客通过攻击P2P网站致平台崩溃然后再索要钱财，不少P2P平台因害怕攻击产生业务损失而花钱了事，甚至有P2P平台因黑客袭击而倒闭。为何P2P平台成了黑客的“摇钱树”？而P2P平台又为何如此容易受到攻击？这些平台该怎样应对？

　　多家P2P平台因黑客倒闭

　　P2P网贷平台从去年开始大规模地进入市场，在高速发展的同时，倒闭跑路、投资者信息安全等一系列威胁层出不穷。一大波黑客盯上了P2P平台这块“肥肉”，也想趁机分而食之。深圳P2P平台金海贷日前发布公告称，因为遭遇黑客攻击，网站不能正常运营。同时还有不少P2P平台遭受了类似的攻击。

　　而在7月7日，新联在线发布关于遭受黑客占用宽带攻击的公告。公告称，7日中午，新联在线客服收到黑客敲诈信息，随后网站出现不稳定现象。同时，公告表示此次黑客攻击只是以占用宽带的方式导致平台系统暂时瘫痪，并不会造成任何投资者信息的泄露和财产的损失。

　　北京商报记者注意到，几乎多数P2P平台都遭受过黑客的攻击，只不过不少攻击并没有曝光。“我们平台几乎每天都遭受到黑客攻击，只不过没有被攻破。”一位北京地区的P2P平台相关负责人直言。

　　此前，人人贷、拍拍贷、翼龙贷、有利网、网贷之家等多家P2P行业相关公司都被黑客攻击过。记者发现被攻击的时间一般是在P2P平台获得融资或者利好消息曝出之后，如人人贷年初刚刚对外发布获得1.3亿美元的投资，时隔不到两小时其官微就发布了被黑客攻击的告示。

　　除此之外，还有不少平台集中被黑，去年末广东地区多家P2P平台网站集中被黑。而另据公开资料显示，截至2013年末，有70家P2P平台因遭遇黑客袭击而关门。但在不少业内人士看来，这些“不堪一击”的P2P平台其实存在很大的风险漏洞以及技术短板。

　　P2P平台缘何成“肥肉”

　　互联网金融网站众多，为何近段时间P2P平台密集受到黑客的青睐？猎豹移动安全专家李铁军认为，P2P平台从去年开始疯狂出现，像当年大热的团购网站、电商平台一样，而且P2P平台做的是投资理财的生意，“唯利是图”的黑客自然不会放过赚钱的机会。

　　有业内人士分析称，P2P网贷平台本质上是融资平台，上面沉淀着庞大的客户数据和资金交易额，对于黑客来说，这是巨大的诱饵。

　　除了P2P平台高速发展外，不少P2P平台IT系统简单、漏洞多也成为被黑客轻易攻击的主要原因。人人聚财CEO许建文在接受北京商报记者采访时表示，现在不少P2P平台的IT系统并非自己开发，而是通过网络渠道购买了一张“皮”（模板），黑客不用一家一家研究系统漏洞，只要研究模板漏洞，然后集中发起攻击，就能“黑”掉一片P2P网站。

　　“自己研发的系统需要专业的人才，还需要耗费更大的人力、物力、精力，运营团队一般需要10人以上，而一张模板只需要2-3个人就能进行运营，而且价位可能就是几百元；而从黑客的层面来讲开发攻击代码也需要核算成本收益，所以他们比较喜欢攻击使用模板的平台。”许建文补充道。

　　银客网执行副总裁张天乐也认为，P2P平台运营初期为了减少运营成本，购入公共模板进行日常运营，这为黑客提供了攻击的便利。

　　其实，黑客攻击的原因很简单，一种就是收取“保护费”；另一种则是盗取客户的信息；而比较“黑暗”的一种则是商业竞争。

　　收取保护费则是比较常见的一种方式，一位P2P行业从业人员告诉记者，一些黑客在攻击网站之前就开始了敲诈勒索，他们通过电话、QQ等方式，而另一些则是在攻击过程中要钱，并以连续攻击作为威胁。敲诈的金额在几百元至几百万元不等。

　　许建文直言，很多黑客都是“看人下菜碟”，根据平台的规模要钱，而有一些则是根据自己的攻击成本收钱。

　　黑客的三种攻击方式

　　不少P2P平台在经历了攻击之后，也开始研究攻击方式以应对攻击。北京商报记者通过采访多位业内人士了解到，黑客攻击P2P平台的方式主要有三种。李铁军解释道，最常见的一种就是DDOS（Distributed Denial of Service）攻击，简言之就是通过网络过载来干扰甚至阻断正常的网络通讯，通过向服务器提交大量请求，使服务器超负荷崩溃。

　　“还有一种则是CC流量攻击，比如同一时间频繁地访问接口，导致服务器暂时性、间歇性中断，比如网站每天的流量是10万人访问，但是忽然变成100万人，此时就会崩溃，可以采用流量转让、过滤非正常IP的方式进行保护。”张天乐解释道。

　　张天乐补充道，还有一种就是对漏洞进行攻击，这就涉及网贷公司的网站都是模板式的，那么黑客可以根据同样的漏洞延伸到更多的企业进行攻击。

　　据了解，黑客在攻击的时候，一般会调集全球各地的服务器，来攻击某一家或者几家网站。“多数只是造成网站拥堵难以登录，一般难以攻击到后台，如果攻击到后果则不堪设想。”许建文直言。

　　P2P平台的技术软肋

　　但是不少市场人士疑惑道，为何那些被勒索敲诈的平台不通过报警或者法律途径解决，而选择花钱了事呢？李铁军直言，一方面黑客“来无影去无踪”，很多IP信息都是虚假的，难以查出行踪；另一方面，通过公安等渠道需要的时间也比较长。

　　而张天乐直言，其实这种行为可以理解，不少平台本身的IT系统不够安全，如果不花钱了事，可能会让投资者认为平台不安全从而转投其他平台，用户体验非常差。

　　在如何应对黑客袭击的问题上，网贷天眼CEO田维赢认为，整体应该从服务器控制和安全检测两方面入手。在服务器控制上，要增强防火墙、流量清洗等技术；在安全检测上，重点是入侵检测或渗透检测，做好被攻击时的响应策略等，同时进行定理地安全扫描，对服务器及其他网络设备的安全漏洞，快速发现并修复。

　　“P2P平台应该做双重保护，一方面最好自己设计系统，进行数据规范和备份维护，比如我们在华北和华南有两个机房，如果华北出现问题把客户的数据、资金信息备份到华南，可以有效地保证资金的安全，另一方面则可以跟专业的流量防护公司合作，共同设计程序来防止恶意攻击。”张天乐建议。

　　许建文则认为，首先平台应该增加服务器的分散，把自己的服务器分布在全国各地，其次不要轻易向黑客屈服，吸取教训，更重要的则是加强人员的配套建设。有消息称，月底央行可能会出台关于互联网金融的框架性文件，未来在高管任职、IT系统建设上面应该都会有相应的规范。

　　此外田维赢还认为， P2P的发展改变着人们的理财方式，也诱惑着一些不良分子，所以P2P除了要在业务扩张上花费大力气，还应该在技术上下功夫。