一家为多家银行提供金融科技服务的API开放平台公司，帮助银行将自己的核心金融能力通过标准化API接口开放给第三方开发者调用。平台对接了十余家银行的账户查询、转账支付和交易流水等核心金融接口，服务于数百家第三方商户和应用开发者。由于平台本身不直接面向消费者，公司对安全建设的重视程度一直不够，将大部分精力投入在接口的功能和性能优化上。
平台为每个第三方开发者分配了独立的API密钥，但密钥的管理非常混乱。密钥的审批流程形同虚设，部分开发者在申请密钥时提供的资质文件不完整，但仍然获得了核心金融接口的调用权限。更严重的是，平台在API接口的权限设计上存在致命缺陷：第三方开发者一旦获得了某个接口的调用权限，就可以通过传递不同的用户身份参数来查询任意银行客户的信息，而平台后端没有对"当前开发者是否有权查询该客户信息"进行严格的校验。
一名黑客在一个技术论坛上偶然看到了该平台的一位开发者泄露的API密钥片段，利用这个片段通过逆向工程获取了完整的API调用方式。他注册了一个虚假的开发者账号后，利用平台权限校验的缺陷编写了批量查询脚本，通过枚举银行卡号和身份标识参数，成功调用了银行的账户查询接口。黑客获取了数万名银行客户的账户余额、交易流水和绑定的理财产品信息。
这些账户信息随后被用于精准的网络诈骗活动。诈骗分子利用获取的账户信息冒充银行客服，准确地告诉受害者其账户的余额和最近的几笔交易记录，以"账户异常需要配合资金审查"为由要求受害者将资金转入"安全账户"。因为诈骗分子能够准确报出受害者的账户信息，多名受害者上当受骗，遭受了严重的经济损失。
事件曝光后，监管部门认定该金融科技平台在客户信息安全保护方面存在严重缺陷，API接口的权限控制机制不符合金融行业的安全要求标准。涉事的银行也因为对其API接口的第三方调用管理不严而被约谈和处罚。平台在事件发生后紧急下架了核心接口，进行了全面的安全架构升级。
金融行业的开放银行战略正在快速推进，API接口作为银行和第三方之间的数据通道，安全性是推动整个生态健康发展的基石。对于承接金融机构数据开放的平台方来说，数据安全责任不仅没有因为不直接面向消费者而减轻，反而因为集成了多方的数据而更加重大。每一次API调用都应该经过严格的权限校验，每一个第三方开发者都应该经过严格的资质审查，每一笔数据流转都应该有完整的审计日志。只有建立起足够严密的安全防线，开放银行战略才能真正实现安全高效的金融数据流通。
