基金安全漏洞

去年底，基金一家中型私募的安全运营总监给我看了他们的后台日志。凌晨两点十七分，漏洞有人用已离职员工的基金账号登录了交易系统，试图修改三只产品的安全估值参数。系统没拦住——因为那个账号的漏洞权限根本没被注销。

这不是基金孤例。基金行业的安全安全漏洞，多数时候不是漏洞被黑客攻破的，而是基金自己人忘了关门。

权限管理：最老的安全问题，最容易被忽略

我翻过十几家基金公司的漏洞权限清单，情况比想象中糟。基金某家管理规模超百亿的安全机构，离职半年以上的漏洞员工账号仍有7个处于活跃状态。IT部门的解释是“走流程太慢”。可流程慢，攻击者不会等。

更麻烦的是权限重叠。一个投资经理的账号，既能查持仓，又能改交易指令，还能导出客户名单。理论上需要三个人互相制衡的环节，一个账号全打通了。这种设计省事，但省掉的是安全边界。

数据接口：敞开的侧门

大部分基金公司把精力花在防外部入侵上，防火墙一层又一层。但数据接口往往没同等对待。某量化基金的数据中台，API密钥硬编码在前端代码里，任何人打开浏览器开发者工具都能看到。他们用这个接口传输每日持仓和净值数据。

我问过他们的技术负责人，对方愣了几秒，说“内部用的，没想那么多”。内部网络不等于安全网络。一个钓鱼邮件就能把内网撕开口子，接口密钥泄露只是时间问题。

估值与清算：人为漏洞比技术漏洞更致命

技术漏洞能打补丁，人的漏洞难堵。我见过一起案例：某基金运营人员同时掌握估值复核和清算指令发送权限。他利用这个空档，在收盘后修改了一只债券的估值价格，虚增了当天净值。第二天再改回来，差额进了自己口袋。持续了四个月才被发现，因为审计抽查时对不上托管行的流水。

问题出在岗位分离形同虚设。制度上写着“双人复核”，实际执行时一个人操作，另一个人点确认，连看都不看。这种“橡皮图章”式复核，在中小基金公司尤其普遍。

外包与云服务：责任边界模糊

现在不少基金把TA系统、估值系统甚至风控模块外包给第三方，或者直接上云。省成本，但安全责任也跟着省没了。去年某云服务商出现配置错误，导致多家基金公司的客户数据在公网可查。事后追责，基金公司说云商的问题，云商说客户自己没设访问策略。扯皮期间，数据已经泄露了。

我的看法是：外包可以，但核心数据的加密和访问日志必须自己攥着。别把钥匙交给别人，还指望对方替你锁门。

安全不是合规清单，是日常习惯

很多基金公司把安全当成年底合规检查的勾选项。检查前突击改密码、补日志，检查一过恢复原样。这种应付心态比漏洞本身更危险。

真正有效的做法往往很朴素：离职当天注销账号，权限按最小必要分配，敏感操作强制双人现场确认，接口密钥定期轮换。这些事不酷，不新，但管用。

我认识一位基金IT主管，他每周五下午雷打不动做一件事：拉出本周所有异常登录记录，挨个打电话确认。有人觉得他小题大做。可过去三年，他所在的公司没出过一次安全事件。漏洞不会消失，但可以被盯住。