我爱卡深度调研：支付创新安全勿滞后

2015-08-04 16:30:00

来源：

从早期的物物交换，到后来货币、信用卡的出现，支付方式伴随着经济发展而不断变化，但是这几种支付方式变化的时间都是比较漫长的。而这几年，支付方式推陈出新的速度远远超过了以往，移动互联网更是让支付出现了爆发式的增长，其中NFC、mPOS支付、扫码支付、声波支付、指纹支付，“刷脸”支付、虹膜支付、光子支付等等如雨后春笋般走入我们的经济生活。

【我爱卡报道】随着移动互联网的蓬勃兴起，移动支付成为了当下最热门的话题，支付手段已经从传统的实卡支付，向以移动支付为代表的新兴支付手段全方位发展已是大势所趋。用什么方式付钱？已经成了现如今一个非常有意思的话题。

从早期的物物交换，到后来货币、信用卡的出现，支付方式伴随着经济发展而不断变化，但是这几种支付方式变化的时间都是比较漫长的。而这几年，支付方式推陈出新的速度远远超过了以往，移动互联网更是让支付出现了爆发式的增长，其中NFC、mPOS支付、扫码支付、声波支付、指纹支付，“刷脸”支付、虹膜支付、光子支付等等如雨后春笋般走入我们的经济生活。

更深刻的变化出现在支付产业的经营主体，支付舞台上唱主角的已不再是传统的商业银行，以第三方支付平台为代表的新生力量在创新大潮中出尽风头。可以说，从手段到工具，从玩家到模式，支付领域正在进行全方位、立体化的“扩军”。其中因为金融概念下隐含的巨大利益，方才吸引了各方的眼球，在支付领域的舞台上，上演着一派“你方唱罢我登场”的热闹景象。

但是，尽管各种支付工具为我们的生活提供了越来越便利、快捷的支付方式，然而在这形形色色的新兴支付工具的背后，其所蕴含着的支付风险和安全隐患则是不容小觑的，支付产业链的迅速延长，使得链条中某一细小环节出现的漏洞更加不易被觉察。俗话说“千里之堤毁于蚁穴”，众多支付方式中那些形同“蚁穴”的漏洞一旦犯罪分子利用，都可能导致整个支付链条的安全保障失效。众多犯罪分子正是从中看到“机会”，罪恶之手伸向了支付产业链。在众多的银行卡盗刷案件里，被盗资金的流向中都少不了新兴支付机构的身影。

各种新兴支付隐藏支付风险“炸弹”

我爱卡记者董峥谈到：在支付领域，效率与安全是一对永恒的矛盾，任何新兴支付手段在为我们带来支付过程快速便捷的体验同时，往往伴随一些潜在的安全隐患。当今社会，由于“互联网金融”、互联网创业的概念被热捧，支付类“创新”业已成了社会上一种时髦口号。对于新兴支付手段，人们更热衷于追求时尚所带来的兴奋与喜悦，特别是借助对传统金融领域的“颠覆”理念，迎合了80、90后人群追求“新、奇、特”的思维方式，新兴支付手段的主力也正是这个群体。于是有了“60后的钱在抽屉里(现金)，70后的钱在银行卡，80后的钱在支付宝”这样一个形象的说法。肯德基(中国)多年不引入POS收单系统，日前宣布在旗下700多家店引入了支付宝手机支付，正是瞄准了年轻一代的支付习惯。

然而在新兴支付手段的出现给人们带来便捷的同时，对于其中的风险和安全问题的讨论，虽然自它诞生之日起就不绝于耳，却很少有人关注它隐含着的支付风险，认为支付风险降临到自己只是小概率事件。而正是这种“小概率”如果落到用户头上就是100%的损失。

客观地说，以新兴支付手段为主体的第三方支付的出现提高了金融业务效率，解决了电商交易流程中的交易担保难题，然而新兴支付手段的隐患除了防不胜防的短信木马、钓鱼欺诈、非法套现、信息泄露等问题外，还将银行和用户隔离开，致使银行无法掌握交易信息，增加了交易过程中的风险防范难度。

中国支付清算协会近日正式上线支付清算工作平台，目的是构建行业风险信息共享平台，通过统一的风险信息共享渠道，为银行、支付机构事前预警，事中控制和事后处置风险搭建了公共风向处置平台，进一步提升包括互联网支付、移动支付在内的支付业务风险防范水平。这也证明了支付风险问题已经引起有关部门的的注意，亟待得到控制和防范。

谁来为新兴支付成为“新型诈骗”负责？

新兴支付手段不断创新，各种支付工具粉墨登场，由于缺少行业的安全标准，每种支付工具都是在自我标榜其“安全性”。而当我们把这些支付工具置身于整个支付链条中时，问题就暴露出来。每一款支付工具，都很难脱离手机而独立存在，无论是注册、验证、绑卡等流程都需要在手机上执行，当整个流程越长越复杂，用户对账户的安全保护的警惕性也就越弱，犯罪分子正是抓住了最容易被忽略的环节上实施犯罪。

国内最大的信用卡社区我爱卡论坛中有一位网友曾经也是对新兴支付手段的狂热支持者，但却为这种支持付出了惨痛代价。由于手机号被他人篡改，造成了银行卡上的一笔资金被通过某支付平台的快捷支付方式盗取，造成了经济损失。另外一笔通过另外一个支付平台盗取的资金被及时察觉避免了损失。最终案情基本明了，犯罪分子盗刷成功的关键在于获取本人的手机号码，通过恶意挂失补制SIM卡，就可以重新绑定一些支付工具，再通过获取验证码实现对受害用户银行卡账户的盗取。因此，即使银行卡未丢失，密码未泄露，犯罪分子都可以完成犯罪。

原本为了让支付更快捷的新兴支付手段，却因为一个环节的漏洞而成为犯罪分子实施“快捷诈骗”的作案利器。如果关注银行卡盗刷相关新闻，不难发现类似案件数不胜数，大有愈演愈烈之势。随着我爱卡记者董峥对这类案件的进一步了解，发现盗取手机号的方法很多，即使手机号码做了实名制也并非高枕无忧。事实上，据媒体报道，犯罪分子利用一些偏远地区电信运营商网点未联网，工作人员未认真验证身份证件，甚至使用伪造身份证的漏洞，就可以成功补卡并获取完成实名制的手机号码。盗取手机验证码的方法就更多了，手机木马，诈骗短信等都是犯罪分子的常用工具。

从表面上看，貌似每个平台都有相应的漏洞和责任，但从我爱卡论坛网友在解决自己遭遇到的这起盗刷案件的实际情况时发现，在很多新兴支付引发的案件中，这些支付手段是一条由多方组成的链条，却又由于多是跨界企业，相互间没有直接的联系，参与的各方都有了推卸责任的借口，受害用户无法做到“一键解决”，只能在银行、支付机构、移动通信运营商之间疲于奔命，而结果却是没有哪个机构会对给用户造成的损失承担责任。难道，只有让用户自己来承担使用新兴支付所造成的经济损失的责任吗？

创新无止境，安全勿滞后

支付模式的创新从根本上是需要鼓励，但是核心问题在于：金融领域事关公众的切身利益，“各家自扫门前雪”的安全保障体系是否足以应对威胁？伴随着众多良莠不齐的厂商加入，支付产业链不断延长而日趋复杂。新进场的玩家为支付领域带来了创新活力，但它们是否都具备足够的金融安全控制能力，却值得怀疑。

然而，在支付市场对于支付工具的创新是一片热火朝天的景象下，我们是否忽略了支付手段中最基础也是最重要的一环——银行卡支付？随着2015年金融IC卡的普及，让磁条卡中存在的易盗刷问题得到了改善，同时基于NFC基础的非接触支付功能的出现，让银行卡支付也可以更便捷。银行卡支付相比较其它支付手段，交易过程最简单也最透明，用户不借助于任何其它工具，避免了“绑卡”可能造成的风险，甚至卡不离手就可以完成支付，易于对支付过程中的风险进行有效防范。由于多数支付企业没有实体卡资源的优势，只能在支付工具创新方面发挥技术专长，而热衷于使用这些新兴支付工具的也多是一些“支付发烧友”，受制于使用环境的影响，普通用户对此并不敏感。对于银行卡用卡环境的升级与完善，只能由中国银联主导来完成，在支付创新方面没有形成完善的市场基础，以及龙头模式的前提下，银行卡支付或许才是最大的“富矿”。

新事物难免不完善，创新过程中，出现纰漏也在所难免。支付产业链环环相扣，某一个环节不够便捷，影响的不仅仅是用户体验；而且一旦出现安全漏洞，就可能让其他环节的安全努力付之东流，整个产业链安全保障失效，正如我爱卡论坛网友的遭遇。

普通用户是根本搞不清什么是NFC、HCE这些“高大上”的专业名词，他们只需要关注资金账户是否安全。因此，我爱卡记者董峥认为，在支付领域的创新方面，可以任由各个环节上的厂商“自由发挥”；但在安全保障方面，除了需要产业链上的各家“自扫门前雪”，还需要对产品的整体环节进行安全评估，任何一个环节达不到要求都不能轻易推出，用户更不要在不熟悉不了解的情况下轻易尝试。

与创新相比，我们在金融安全方面的脚步已经滞后了。支付产业链的安全，是“木桶效应”的典型体现——整体安全水准由短板决定。如果各方只管一门心思忙创新，不顾其他环节可能出现的隐患，出了事便一副事不关己的态度，最终毁掉的将是整个支付产业链。

新兴支付代表了金融创新的方向，我们也应该以积极的态度包括政策措施上创造良好的发展环境，我们不反对支付领域的探索，更倡导支付手段的创新。但是，在支付领域里更应该加强对支付安全问题的重视，提高防范风险的能力，创新是不能以降低风险为代价的。