先了解这件事
2026年10月9日,印度计算机应急响应小组(CERT-In)与CSIRT-Fin发布“Critical”级别通报,警告NBFC、数字借贷平台、金融科技公司、支付服务商和钱包运营商正遭遇协同网络攻击。通报称,攻击者入侵面向互联网的应用、暴露的API和特权端点,窃取支付聚合或网关凭证及合作银行API凭证,从机构自身白名单基础设施内调用放款和转账API,绕过贷款创建、KYC、审批、收款人核验、余额充足性和单笔交易限额等应用层控制。相关交易带有虚假参考标识、超出单笔限额,资金被转入跨多家银行的攻击者控制的钱骡账户,并通过IMPS和NEFT快速转移后立即取现。通报还提到近期事件中从初始入侵到欺诈转账的间隔明显缩短,攻击者IP多关联托管基础设施,并会删除或截断日志、篡改EDR工具并做反取证清理,同时指出攻击可能使用了AI工具。CERT-In建议对支付平台、管理门户和银行API强制启用MFA,用按会话认证替代长期静态token,并下线未使用的API。
AI 根据公开报道生成
最新进展 · 正式报道
CERT-In 警告金融科技公司遭 API 劫持绕过 KYC事件进展
1 个已确认进展
- 来源：MediaNama
报道与讨论时间线
按时间查看正式报道与传播讨论；两类内容的证据等级保持独立。
10月14日
MediaNama
CERT-In 警告金融科技公司遭 API 劫持绕过 KYC
印度计算机应急响应小组（CERT-In）与 CSIRT-Fin 于 2026 年 10 月 9 日发布“Critical”级别通报，警告 NBFC、数字借贷平台、金融科技公司、支付服务商和钱包运营商正遭遇协同网络攻击，攻击者入侵面向互联网的应用、暴露的 API 和特权端点，窃取支付聚合或网关凭证及合作银行 API 凭证，直接从机构自身白名单基础设施内调用放款和转账 API，从而绕过贷款创建、KYC、审批、收款人核验、余额充足性和单笔交易限额等应用层控制。通报称这些交易带有虚假参考标识、超出单笔限额，资金被转入跨多家银行的攻击者控制的钱骡账户，并通过 IMPS 和 NEFT 快速转移后立即取现。通报还提到近期事件中从初始入侵到欺诈转账的间隔明显缩短，攻击者 IP 多关联托管基础设施，并会删除或截断日志、篡改 EDR 工具并做反取证清理，同时指出攻击可能使用了 AI 工具。CERT-In 建议对支付平台、管理门户和银行 API 强制启用 MFA，用按会话认证替代长期静态 token，并下线未使用的 API。文章同时引述多位专家对 CERT-In 机制的批评，认为其通报与问责机制不足。