2026年Q1金融行业数据安全态势观察与93号文学习思考

——基于公开信息的整理分析

本文为基于2026年第一季度行业安全公开信息及监管政策文件进行的整理分析，仅供学习参考。

一、2026年Q1安全态势观察

2026年第一季度，从公开渠道披露的信息来看，网络安全形势依然复杂严峻。以下是梳理的6个代表性安全事件：

? 事件一：BeyondTrust高危漏洞被主动利用

事件概要：2026年2月，帕洛阿尔托网络公司Unit 42发布报告称，BeyondTrust远程协助软件中存在的高危漏洞（CVE-2026-1731）正被黑客主动利用。该漏洞为预认证远程代码执行漏洞，攻击者无需有效凭据即可攻陷目标系统。

影响范围：

•多国受影响：美国、法国、德国、澳大利亚、加拿大等

•涉及行业：金融服务、法律服务、医疗健康、高科技、高等教育、批发零售等

•美国CISA已于2026年2月13日将该漏洞加入已知被利用漏洞目录（KEV）

技术特点：

•漏洞在用户登录之前处理外部传入连接

•可通过remoteVersion参数绕过校验执行命令行指令

•攻击者部署VShell、SparkRAT等后门程序进行持久化控制

漏洞修复建议：

•SaaS客户：2026年2月2日前已完成自动更新

•本地版：需升级至Remote Support 25.3.2及以上、Privileged Remote Access 25.1.1及以上

参考来源：CISA KEV目录、Unit 42威胁情报报告

? 事件二：NPM供应链攻击——恶意包植入Pulsar远控木马

事件概要：2026年2月，安全厂商Veracode在NPM平台发现一起供应链攻击。攻击者通过typosquatting（拼写抢注）手段，将恶意包命名为buildrunner-dev，仿冒正规安全工具buildrunner，诱导开发者误下载。

技术特点：

•利用隐写术将恶意代码藏身于PNG图片中

•使用进程空心化（process hollowing）技术伪装成正常进程

•具有反杀软检测能力，检测到ESET、Malwarebytes、F-Secure等时会静默绕过

•最终释放Pulsar远控木马，完全控制受害者计算机

•1600+行干扰代码掩盖21行真实恶意指令

风险提示：该攻击揭示了供应链安全的严峻性——一个看似普通的npm包，就可能在安装瞬间导致主机被完全控制。金融机构在引入开源组件时需格外谨慎。

参考来源：Veracode安全研究团队报告

? 事件三：Android恶意软件首次调用Google Gemini

事件概要：2026年2月，安全厂商Eset发现一款名为PromptSpy的Android恶意软件家族。该恶意软件在运行过程中调用Google Gemini大模型，实现部分持久化机制的自动化。据Eset描述，这是已知的第二起由AI驱动的移动恶意软件案例。

技术特点：

•抓取用户界面的XML结构信息发送给Gemini

•Gemini返回JSON格式指令，指挥恶意软件点击或操作界面元素

•具备防卸载功能：在包含"stop""end""clear""Uninstall"等关键词的按钮上覆盖不可见界面

•采集设备信息、上传已安装应用列表、窃取锁屏PIN码、录制解锁图案、截图等

风险提示：生成式AI正被攻击者用于提升恶意软件的自动化能力，传统安全防护面临新挑战。金融机构移动端应用需加强安全检测。

参考来源：Eset安全研究报告

? 事件四：Swiper高危漏洞影响全球应用

事件概要：2026年2月，Swiper组件中被发现存在高危原型污染漏洞（CVE-2026-27212），CVSS评分高达9.4。Swiper是全球广泛使用的移动端触控轮播组件，数百万网页和移动应用依赖此组件。

影响版本：>=6.5.1，<12.1.2

技术特点：

•漏洞位于shared/utils.mjs第94行

•此前已尝试修复但被绕过

•可导致认证绕过、拒绝服务、远程代码执行

风险提示：该漏洞影响面极广，任何使用该组件处理攻击者可控输入的应用都可能受影响。金融机构Web应用和移动端应用需尽快排查。

参考来源：CNNVD国家信息安全漏洞库

? 事件五：零售巨头线上商城遭支付窃密程序入侵

事件概要：2026年2月16日，安全研究机构Sansec在全球前十连锁超市的线上商城中发现数字支付窃密程序。该零售巨头年收入约1000亿欧元，在25个国家拥有超10000家门店。

技术特点：

•使用"双击窃密"技术：在结账页面插入伪造支付表单

•受害者输入银行卡信息后被无缝跳转到真实支付页面

•生成式AI被用于快速制作多语言、本地化的仿冒支付浮层

•支持WordPress、Magento、PrestaShop、OpenCart等多种电商系统

风险提示：电商平台需高度关注支付环节安全，警惕基于JavaScript的支付欺诈。金融机构的线上渠道同样需要加强前端安全检测。

参考来源：Sansec安全研究团队报告

? 事件六："银狐木马"钓鱼攻击持续活跃

事件概要：据行业媒体报道，"银狐木马"等恶意程序伪装正规远程桌面软件进行钓鱼攻击的事件在2026年Q1持续活跃。

技术特点：

•滥用真实软件签名降低用户警惕

•采用无文件攻击技术，全程内存运行

•具有反沙箱检测能力，规避安全分析

•通过钓鱼邮件或即时通讯诱导下载

风险提示：员工安全意识仍是防护体系的重要一环。技术手段再先进，也架不住随手一点。定期开展钓鱼演练很有必要。

参考来源：安全客、FreeBuf等行业媒体报道

二、93号文要点学习

2026年1月，国家金融监督管理总局办公厅印发《关于开展金融机构数据安全管理能力提升专项行动的通知》（金办发〔2025〕93号）。这是自《银行保险机构数据安全管理办法》发布后的首个专项部署文件，重要性不言而喻。

2.1 文件基本信息

2.2 核心要义

93号文的核心，笔者理解是：推动数据安全从"制度合规"走向"能力合规"。

文件明确提出，数据安全能力需具备"可检查、可量化、可持续运行"的特征，这传递出以下信号：

2.3 "四个一批"监管要求

"发现一批、整改一批、通报一批、处罚一批"

这一要求既给机构整改机会，又保留监管刚性约束，体现了严管厚爱的政策意图。

2.4 对照检查方向参考

对照93号文要求，可从以下方向开展自查：

? 数据资产管理• 数据资产清单是否完整？• 敏感数据识别是否到位？• 数据分类分级是否落地？? 制度建设与执行• 数据安全管理制度是否健全？• 制度执行是否有记录、有监督？• 应急处置机制是否有效？? 技术防护能力• 访问控制是否按最小权限原则？• 数据加密是否覆盖关键环节？• 日志审计是否有效运行？? 人员意识与培训• 数据安全培训是否常态化？• 员工是否了解基本的数据保护要求？

三、工作思考

基于上述分析，可参考以下工作思路：

3.1 基础工作要扎实

"万丈高楼平地起"

•漏洞管理：密切关注CNNVD、CISA KEV等权威平台发布的漏洞信息，及时评估影响并修复

•供应链安全：加强对第三方组件、开源库的安全审核，建立供应链安全准入机制

•数据资产：持续推进数据分类分级工作，做到"心中有数"

3.2 能力建设是关键

"安全是动态的"

•持续运营：建立常态化的安全运营机制，而非一次性整改

•可量化：用数据说话，让安全工作可衡量、可追溯

•实战能力：定期开展应急演练，提升实战响应能力

3.3 关注新技术风险

"知己知彼"

•AI驱动的新型攻击手法正在涌现，需持续关注技术发展趋势

•供应链安全风险不容忽视，需建立第三方安全审核机制

•移动端安全威胁日益突出，金融机构移动应用需加强安全检测

四、结语

当前，数字金融快速发展，数据要素价值日益凸显。数据安全既是监管要求，也是金融机构自身发展的内在需要。93号文的发布，为数据安全工作指明了方向，也提出了更高要求。

2026年，数据安全工作的关键词或许是"能力"——从有没有到能不能，从静态到动态，从定性到定量。这既是监管的期望，也是行业发展的必然。

以上为初步学习体会，观点不一定准确，仅供交流探讨。涉及具体业务决策，请以监管官方发布为准。

? 参考来源

1.国家金融监督管理总局官网：《关于开展金融机构数据安全管理能力提升专项行动的通知》（金办发〔2025〕93号）

2.CISA KEV目录：CVE-2026-1731

3.CNNVD国家信息安全漏洞库：CVE-2026-27212

4.Unit 42威胁情报报告：BeyondTrust漏洞利用分析

5.Veracode安全研究：NPM供应链攻击分析

6.Eset安全研究：PromptSpy恶意软件分析

7.Sansec安全研究：支付窃密程序分析

8.安全客（anquanke.com）、FreeBuf等行业媒体报道

声明：本文仅代表个人观点；内容主要基于公开报道和监管文件公开信息整理；涉及具体业务判断，请以监管官方发布为准；未经授权，禁止转载。

欢迎关注，持续分享金融科技安全思考