科威特中央银行 CORF：测试您的客户所使用的移动银行应用。

1. 01

   CBK CORF，第 4 章，5.8.2.2 和 8.3.1.14

   通过漏洞评估和渗透测试来测试您的应用

   文本的内容

   所有应用，无论其类型如何，都必须定期接受全面的安全评估，包括漏洞评估和渗透测试。各实体还必须定期开展安全评估，以识别并修复其网上银行平台和移动银行应用中的漏洞。

   来源：CBK CORF，第 4 章，5.8.2.2 和 8.3.1.14

   对您的移动应用意味着什么

   移动银行应用被明确点名。它需要定期接受漏洞评估和渗透测试，并且需要修复测试发现的缺陷。

   Ostorlab 如何提供帮助

   Mobile SAST 分析二进制文件（包括嵌入的 SDK），Mobile DAST 测试运行中的应用，两者都在 CI/CD 中运行。AI 智能体渗透测试在登录后更加深入，AI 智能体的每个发现都附有可重放的有效漏洞利用。

   仍由您负责的部分

   设定测试间隔、确定人工测试的范围以及审批修复。

2. 02

   CBK CORF，第 4 章，8.3.1.7、8.1.3.3 和 8.3.3.3

   阻止已 Root 和已越狱的设备

   文本的内容

   各实体必须实施控制措施，防止在已越狱或已 Root 的设备上安装移动银行应用并阻止其使用。用于数字银行的设备必须持续依据安全策略进行验证，包括操作系统版本、补丁级别和设备完整性，未通过验证的设备必须被限制或撤销访问权限。数字钱包也必须阻止在已越狱或已 Root 的设备上使用。

   来源：CBK CORF，第 4 章，8.3.1.7、8.1.3.3 和 8.3.3.3

   对您的移动应用意味着什么

   Root 和越狱检测是一项要求，而非可选项。即使攻击者试图隐藏设备状态，检测也必须触发，应用也必须做出响应。

   Ostorlab 如何提供帮助

   Mobile Shielding Scan 在已 Root 和已越狱的环境中运行应用，尝试绕过 Root 和越狱检测、防篡改、反插桩以及 TLS 证书固定，并显示应用是会阻止业务流程、拒绝启动，还是继续运行。您将获得加固评分和绕过证据。

   仍由您负责的部分

   选择和配置您的加固或运行时防护产品，以及设备合规策略。

3. 03

   CBK CORF，第 4 章，8.3.1.3 和 8.1.3.5

   对关键操作采用强 MFA

   文本的内容

   各实体必须实施强多因素认证和带外验证，以授权账户激活、资金转账、账单支付和添加收款人等关键操作，可使用第三方身份验证器应用生成的 OTP、需通过生物识别或 PIN 确认的应用内推送通知，或 FIDO2 等基于设备的授权。变更手机号码和电子邮件地址等敏感客户信息需要 MFA。

   来源：CBK CORF，第 4 章，8.3.1.3 和 8.1.3.5

   对您的移动应用意味着什么

   应用中的每项关键操作都需要各自的强验证，并且无论应用发送什么内容，这些验证都必须在服务器端有效。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户完成短信、电子邮件或 TOTP 一次性验证码，测试 MFA 强制执行和增强验证流程（包括攻击者试图操纵它们的方式），以及账户变更背后的 API 调用。

   仍由您负责的部分

   选择认证方法，以及就 OTP 发送方式征得客户同意。

4. 04

   CBK CORF，第 4 章，8.3.1.1、8.3.1.2 和 8.1.3.1

   限制会话、一次性密码和登录失败次数

   文本的内容

   移动银行会话必须在最长五分钟无操作后自动结束，且不允许并发会话。一次性密码的有效期最长为两分钟，会话必须按设定的间隔或在会话上下文发生变化时重新验证。最多三次登录或认证尝试失败后，必须阻止访问。

   来源：CBK CORF，第 4 章，8.3.1.1、8.3.1.2 和 8.1.3.1

   对您的移动应用意味着什么

   这些都是具体、可测试的设置：无操作超时、禁止并行会话、OTP 有效期和锁定阈值。

   Ostorlab 如何提供帮助

   认证测试覆盖登录和注销、令牌刷新、超时、会话失效和 MFA 强制执行，流量分析则显示凭据如何从应用传输到后端。

   仍由您负责的部分

   被阻止用户的重新激活程序，以及您选择的重新验证触发条件。

5. 05

   CBK CORF，第 4 章，8.3.1.8 至 8.3.1.10

   加密本地数据并将应用与设备绑定

   文本的内容

   移动银行应用必须对其存储在客户设备本地的所有数据进行加密。首次使用时，应用必须验证客户的手机号码，并使用设备认证，例如设备指纹或基于证书的认证。客户最多可在三台经过验证的设备上使用该应用，在具备强风险缓解控制的情况下最多可使用六台。

   来源：CBK CORF，第 4 章，8.3.1.8 至 8.3.1.10

   对您的移动应用意味着什么

   应用写入设备的内容，以及它如何识别新设备，都在范围之内。

   Ostorlab 如何提供帮助

   Ostorlab 在本地存储、缓存、日志和截图中查找会话令牌和个人数据，并检查会削弱传输和会话保护的错误配置。认证测试覆盖您测试账户背后的登录和设备流程。

   仍由您负责的部分

   设备注册数量限制、已注册设备的重新验证以及客户通知。

6. 06

   CBK CORF，第 4 章，5.8.3.1 至 5.8.3.8 和 8.3.2.7

   保护您的 API，并在重大变更后进行评估

   文本的内容

   API 必须遵循 OWASP API Security Top 10 等安全编码实践，强制执行强认证和基于角色的访问控制，验证所有输入，实施速率限制和限流，并对流量进行加密。API 必须定期以及在重大变更后接受安全评估，例如渗透测试、模糊测试、DAST/SAST、运行时测试和错误配置测试。开放银行 API 必须定期通过渗透测试和漏洞评估进行评估。

   来源：CBK CORF，第 4 章，5.8.3.1 至 5.8.3.8 和 8.3.2.7

   对您的移动应用意味着什么

   应用背后的 API 需要与应用同等的审查，既要按固定频率进行，也要在每次重大变更后再次进行。

   Ostorlab 如何提供帮助

   即使启用 TLS 证书固定，Ostorlab 也能拦截应用流量，测试 API 是否存在失效的授权（BOLA、BFLA、IDOR）、令牌和会话的滥用，以及枚举、重放和自动化等滥用行为，并为每项发现提供请求和响应证据。

   仍由您负责的部分

   API 网关、API 清单、日志记录与监控，以及 API 生命周期管理。

7. 07

   CBK CORF，第 4 章，5.8.1.3、5.8.1.6、5.8.1.7 和 5.9.1.6

   将安全融入开发和发布

   文本的内容

   各实体必须遵循 DevSecOps 方法，采用 OWASP 等安全编码实践以应对 CWE Top 25 等常见弱点，并为所有软件（包括来自第三方供应商的软件）维护最新的软件物料清单。在变更进入生产环境之前，测试必须涵盖安全测试、适用时的源代码审查、渗透测试和漏洞评估。

   来源：CBK CORF，第 4 章，5.8.1.3、5.8.1.6、5.8.1.7 和 5.9.1.6

   对您的移动应用意味着什么

   应用的每个版本在上架商店之前都应通过安全测试，您也应了解它包含哪些第三方组件。

   Ostorlab 如何提供帮助

   自动扫描从您的 CI/CD 流水线对每个构建运行。SCA 列出每个版本中的 SDK 和原生库及其版本，将其与已知漏洞对应，并逐个版本跟踪其关闭情况。

   仍由您负责的部分

   安全设计审查、人工代码审查、职责分离和变更审批，包括重大变更须获得的 CBK 批准。

8. 08

   CBK CORF，第 4 章，5.13.1.2、5.13.1.5 至 5.13.1.7

   跟踪漏洞直至关闭并验证修复

   文本的内容

   必须定期或在发生重大变更时，对网络、系统和应用开展漏洞评估。发现必须予以记录并跟踪直至关闭，各实体必须验证修复，以确认缺陷已得到处理。各实体必须对面向公众的资产使用外部攻击面管理。

   来源：CBK CORF，第 4 章，5.13.1.2、5.13.1.5 至 5.13.1.7

   对您的移动应用意味着什么

   仅仅发现问题是不够的。您需要记录每个问题都已修复并经过复测，并掌握您对外暴露的应用。

   Ostorlab 如何提供帮助

   发现会被评为严重、高、中或低风险，以工单形式在平台中或 Jira 和 ServiceNow 中跟踪，并在修复发布后进行复测。攻击面发现帮助您找到对外暴露的应用和资产。

   仍由您负责的部分

   修复时限、补丁管理以及向董事会提交的季度报告。

9. 09

   CBK 第 (2/BS, IBS/534/2023) 号通函

   保护客户免受电子欺诈

   文本的内容

   客户通过网上银行或移动银行添加新收款人时，必须发送 OTP 短信并通知客户，且除非客户确认，否则该收款人至少 12 小时内不得激活。任何交易之前，必须通过电话验证无法识别的设备。安装了 AnyDesk 等远程控制应用时，银行必须阻止应用的使用，并生成安全码，使交易无法从其他设备发起。

   来源：CBK 第 (2/BS, IBS/534/2023) 号通函

   对您的移动应用意味着什么

   收款人延迟生效、新设备检查以及与设备绑定的安全码都属于业务逻辑。它们必须在服务器端有效，而不只体现在应用界面上。

   Ostorlab 如何提供帮助

   Ostorlab 测试应用及其 API 中与欺诈相关的控制措施：认证、增强验证、会话处理、设备防护以及支付背后的业务逻辑。

   仍由您负责的部分

   检测远程控制应用、电话验证、交易监控以及客户安全意识教育。

本页概述了 CBK 的公开文本，核对日期为2026年9月27日。电子支付通函为 CBK 为提供信息而发布的英文译本，具有法律效力的是阿拉伯文文本。本页不构成法律意见。