軟體開發者郭先生發現中國建設銀行、農業銀行、民生銀行官網存在跨站腳本/內容注入漏洞，攻擊者可植入惡意廣告鏈接，誘導用戶輸入帳號密碼驗證碼後轉向正規頁面，竊取敏感資訊。三家銀行已確認並修補漏洞。

攻擊手法還原

1. 攻擊者構造惡意字串注入銀行網頁參數（如歡迎語、廣告位）。
2. 頁面顯示偽造廣告「Welcome Share your money to me」，實際鏈接指向釣魚站點。
3. 用戶點擊進入高仿真釣魚頁 → 輸入帳號、密碼、驗證碼。
4. 釣魚站提示「驗證碼錯誤」 → 自動跳轉真實銀行官網（用戶以為自己輸入有誤）。
5. 攻擊者後台收集完整憑證，實施盜刷/轉帳。

銀行響應時間軸

• 郭先生測試發現 → 向媒體/銀行通報。
• 民生銀行：當日下午完成修補驗證。
• 農業銀行：啟動應急響應，提醒客戶識別官網域名。
• 建設銀行：技術部門介入排查修補。

專家防範指南（國家應急中心 CNCERT 建議）

1. 直達官網：瀏覽器地址欄手輸完整域名（`https://www.icbc.com.cn` 等），收藏書籤，絕不點擊郵件/短信/第三方網站連結。
2. 驗證域名與憑證：確認 HTTPS 綠鎖、機構名稱（EV SSL）、域名拼寫零差異。
3. 警惕誘惑性廣告/活動：銀行從不以促銷、升級為由索要提款密碼、驗證碼、CVV2。
4. 異常即驗證：遇可疑頁面/提示，立即撥打銀行官方客服熱線（背面電話）核實。
5. 啟用動態口令/USB Key/指紋：多因子認證讓單純密碼竊取失效。
6. 定期修改交易密碼：與登入密碼分離，複雜度 ≥12 字元。

技術根因與修補方向

• 輸入輸出未嚴格過濾/編碼（XSS/內容注入）。
• 前端頁面組件（廣告位、公告欄）未納入安全開發週期 (SDL)。
• 缺乏內容安全策略 (CSP) 防禦內聯腳本執行。
• 建議：引入 WAF 虛擬補丁、自動化掃描、滲透測試常態化、供應鏈元件安全審計。

金融級安全不僅是合規勾選，更是每一行代碼、每一個配置、每一次上線的敬畏。用戶習慣與技術防線同樣關鍵。