世界超市世界超市

钱海利：四大行限制快捷支付欲将客户转移至网银端

admin 2020-11-11 24

摘要：中国电子商务研究中心互联网金融助理分析师钱海利在接受《国际金融报》记者采访时表示，此次四大银行降低快捷支付额度，更多是出于安全考虑，防范支付风险，是银行作为金融市场成员的正当举措。而未对网银额度做出限制，意在将原本快捷支付端的客户转移至网银端，让拥有着较为严格风控技术的网银把控核心账户控制权，与第三方支付机构开展公平竞争。互联网金融产品创新层出不穷，银行在网络理财产品上的竞争力大幅减弱，面对客户、数据、资金的不断流失，银行一直在想办法压制宝宝军团发展，限制快捷支付额度，一定程度上能减缓银行资金流出速度。以下为该报道全文：《携程曝安全漏洞互联网金融雪上霜》此次携程泄露用户支付信息事件正发生在传统金融业与互联网金融激烈博弈期间，以用户安全为由，监管部门正要对第三方支付施加诸多限制，在这个关键时期曝出支付安全漏洞一事，无疑让本就备受质疑的互联网金融雪上加霜。太危险了，以前不知道信用卡背后的三位数不能随便泄漏，为了方便，在各种购物网站上办理快捷支付时，都填写过详细的信用卡信息。黄先生对《国际金融报》记者感叹。用信用卡控来形容黄先生一点都不夸张，他几乎拥有各大银行的信用卡，本人也非常享受使用信用卡带来的各种便利。但最近，黄先生对于信用卡的网上使用产生了安全顾虑，并在第一时间致电银行客服注销原有信用卡，并另开新卡。让黄先生有上述安全顾虑的是近期发生的携程支付漏洞事件。惊曝安全漏洞3月22日晚间，一个编号为54302的漏洞报告在国内安全漏洞监测平台乌云网(wooyun.org)上曝光，发布者是乌云的核心白帽子黑客猪猪侠。这份报告表明，携程的一个漏洞会导致大量用户银行卡信息泄露，而这些信息可能直接引发盗刷等问题。由于直接涉及到用户的信用卡安全问题，该漏洞一经发布，便引起了极大关注，一时间，换信用卡成为用户斩断安全隐患的不二法门。对于乌云的报告，携程方面承认了漏洞的存在，并在两小时内修复了该漏洞。经过调查，携程的技术开发人员之前为了排查系统疑问，留下了临时日志，因疏忽未及时删除，目前，这些信息已被全部删除。携程相关负责人告诉《国际金融报》记者。受漏洞门事件影响，3月25日，在纳斯达克交易所上市的携程股价盘前一度下跌近10%。但是信息的删除和安全承诺并不能完全消除由此事引发的支付危机。乌云当头一般来说，黑客分为黑帽子和白帽子两种。如果说，黑帽子是专注于安全攻击并借此获利的黑恶势力，那么，白帽子则是正义的化身，他们是从事信息安全研究，帮助企业修复漏洞的专业技术者，他们可以识别计算机系统或网络系统中的安全漏洞，但不会恶意去利用，而是公布其漏洞，这样，系统将可以在被其他人利用之前完成漏洞修补。乌云，这个位于厂商和安全研究者之间的安全问题反馈平台上就有不少白帽子，也曾公布过不少漏洞。去年10月，如家、汉庭等连锁酒店因浙江慧达驿站网络有限公司开发的管理系统存在漏洞，使得2000万条客户信息泄露。3月22日18时18分，乌云平台上的核心白帽子猪猪侠发布报告指出，携程安全支付日志可遍历下载，可能导致大量用户银行卡信息泄露，包含持卡人姓名、身份证、银行卡类别、银行卡号、卡CVV码(卡背面的3位数验证码)、6位卡Bin(用于验证支付信息的6位数字)。报告言辞较为专业，可以用一个通俗的比喻来解释：携程把用户信用卡最关键的数据信息私自存下来了，并且还没放在保险柜里，导致有高手过去偷了几个数据包练手。一旦这些信息都被黑帽子偷窃，用户卡里的钱可能就被盗了。对于乌云指出的漏洞，携程发布声明称，携程技术人员已经确认该漏洞并在两小时内及时修复，该漏洞受影响的用户为近期的部分交易客户，目前并没有用户受到该漏洞的影响而造成相应财产损失的情况发现。3月23日，携程给出更为详细的解释称，漏洞之所以产生，是由于技术开发人员为了排查系统疑问，在线上环境开启了支付调试功能，留下了临时日志，因疏忽未能及时删除。目前，这些信息已经删除。携程表示，经过排查，仅漏洞发现者做了测试下载，共涉及93名存在风险的的携程用户。没有接到携程电话通知的用户，个人信息是安全的。携程错在哪儿对于携程给出的解释，一些业内专业人士并不完全认同。瑞星安全专家唐威在接受《国际金融报》记者采访时指出，携程在此次事件中犯了两大错误。首先是它存储了不该存储的信息，比如CVV码。资料显示，CVV码是由卡号、有效期和服务约束代码生成的3位或4位数字，一般印在卡片背面签名栏处，用来在交易时进行核对。简而言之，CVV安全码等同于密码，需要妥善保管。一般来说，使用信用卡快捷支付这一流程，只要求输入身份证号、持卡人姓名、信用卡卡号、CVV安全码，交易就宣告成功，根本无需输入信用卡密码。唐威说，这些是交易过程中用户输入，进行信用卡验证后，就要丢弃而不应该存储的信息。而携程用于处理用户支付的安全支付服务器接口存在调试功能，将用户支付的记录用文本保存了下来。记者了解到，关于信用卡信息存储，2013年中国人民银行发布的《银行卡收单业务管理办法》第二十八条中有明确规定：收单机构不得以任何形式存储银行卡磁道信息或芯片信息、卡片验证码、卡片有效期、个人标识码等敏感信息，并应采取有效措施防止特约商户和外包服务机构存储银行卡敏感信息。在支付安全方面，国际上也有一项PCI-DSS(第三方支付行业数据安全标准)，严格规定了网站不能保存哪些用户数据，以及规定网站必须采用加密数据传输等安全措施。360安全专家安扬向《国际金融报》记者介绍，在PCI-DSS规定的基本安全措施中，商户可以保存的信息是信用卡号、持卡人姓名、信用卡失效日、业务代码；禁止保存的包括CVV码、PIN(个人识别码)、完整磁条信息(针对POS机刷卡)。值得注意的是，虽然携程在声明中声称其做法符合PCI-DSS规定，并将进一步严格按照PCI-DSS的监管要求执行。但记者查询得知，携程并没有获得PCI资质。3月25日，携程宣布启动PCI和银联的认证程序,并将不再保存客户的CVV信息。包括服务器、技术人员的安全配置不严格，是携程的第二大错误。唐威说，如果携程此次是将CVV加密保存，那么就算是被检查出有漏洞，也绝不会有太大危险，但问题是携程既在本地保存了敏感信息，又没有为这些信息加密，这相当于将这些敏感信息赤裸裸地展露在黑客面前。谷歌原技术总监胡宁在微博上也表示，用户银行卡信息泄露，并非犯低级技术错误这么简单，敏感信息需加密存储、线上开调试功能需慎重、系统日志要及时清理、服务器安全性要达标，这都是常识。胡宁认为，可能携程并未故意存储CVV信息，但其数据传输为明文，且线上长时间打开调试功能，导致系统日志中亦为明文，又未及时清理，所存储的服务器还有安全漏洞，可谓一步错，步步错。如果漏洞未及时发现和修复，黑客通过此漏洞可轻易获得消费者的信用卡信息，从而盗刷信用卡，必然会给受害消费者造成财产损失。安扬告诉记者。有一项粗略计算显示，目前，携程网日活跃用户已经超过2800万人次。按照2%发生交易的比例来计算，每天有560个用户发生交易，如果这样的数据日志保存一个月，将有1.68万用户的信息处在不安全的状态下。便捷支付之殇携程此次涉及的支付方式正是当下颇为流行的便捷支付。所谓便捷支付，是一种方便、快速的支付方式。用户通过网络购买商品时，不需开通网银，直接通过输入银行卡信息，即可轻松完成支付。为了体验其便利性，《国际金融报》记者近日登录携程网，随意挑选了一款旅游产品进行购买，进入支付页面，只要输入银行卡号，并输入卡背面磁条下方的最后三位数字，即业界所称的CVV码，网页就提示已获得银行预授权。操作过程中，将第一次提交的信用卡信息设置为常用信用卡，第二次登录购买时，就不用再重复输入卡信息，也不用核对身份，页面会直接跳出信用卡信息，用户只需点击下一步就可以完成支付。而类似这种支付方式已经被各大电子商务平台广泛使用。比如，亚马逊在中国就推出了一键信用卡支付，使用该支付方式，只需要预先将信用卡信息保存到您的亚马逊账户中。下单成功后，包裹发货时，银行会自动从您的信用卡中扣除相应包裹的金额。而支付宝推出的便捷支付方式则直接名为快捷支付，它不仅可以实现一键信用卡支付，也可以绑定存储卡。开通流程和亚马逊类似，不过，还需要满足额外的两个条件：一是凭支付宝密码，二是手机检验码。随着电子商务的崛起，这种支付方式已经越来越普遍，也是目前移动手机支付的基础。与银行的网银支付相比，便捷支付的主要优势就是快。网银支付其原理与便捷支付类似，但其间会有一个反复验证信息的过程，从卡号、支付密码，到手机动态码、支付密码，还需要U盾这些加密工具，过程较为繁复。在不少网站，使用便捷支付，只需提供银行卡号、使用有效期、CVV码以及身份证号，无需任何手机动态码验证是否为本人交易便可完成支付，整个过程只需两三秒的时间。便捷支付的初衷在于不让网上支付受限于银行网银额度等限制，在整个便捷支付中，银行并不参与过程，其角色相当于‘账房先生’，被动处理来自第三方机构的借记报文，不再认证客户的身份，不再掌握客户的支付行为。一位不愿具名的银行业人士对《国际金融报》记者表示，因此，从安全系数上讲，使用便捷支付，由第三方支付企业和互联网提供安全保障，而网银是直接受控于银行，使用银行的安全系统。上述银行人士认为，对于便捷支付来说，其最大的风险是网站能否做好安全防范，信息一旦泄露，用户银行卡就可能被盗刷。在深圳某IT企业工作的张小姐就吃过这样的亏。去年，我在一平台性旅游网站上订票，按照步骤走到支付页面，和携程一样，也是提交了信用卡信息，包括CVV码，当时显示机票订购成功。但没想到，第二天，手机就收到了消费2000多美元的短信。张小姐告诉记者，她仔细回想，这几天除了订机票外并没有用过信用卡，于是她便与该在线旅游平台联系，但苦于没有办法举证，该平台并不承认是由于它的原因造成用户信息泄露。银行方面也坚持由本人或者由企业协商解决办法，因为信息泄露并非银行造成，且如不按期还款，仍会追究延期还款责任。张小姐告诉记者，无奈之下，只能自己吃哑巴亏。记者致电民生银行客服询问时，客服也证实，一般快捷支付因信息泄露发生盗卡事件，银行不承担责任。便捷支付方式，其实是建立在银行和支付网站之间的信任和授权关系基础上的一种新型支付方式。安扬向记者解释，只要不泄露任何信息，便捷支付本身并没有什么大的过错。而用户提交CVV码等信息也并不意味着网站一定会保存，只要不保存信息，网站不存在技术漏洞，便捷支付还是比较安全的。不过，安扬同时也表示，至于网站究竟有没有保存这些信息，只有网站自身或攻击入侵网站的黑客清楚，外界不得而知。浙江金道律师事务所律师张延来在接受《国际金融报》记者采访时表示，网络支付安全与效率历来是鱼和熊掌，不可兼得。他建议网络用户在进行电子支付时一定要遵循安全第一的原则，选择安全措施较多的支付方式；小额支付如果考虑到快捷的需要，应当尽可能在一些比较知名的网站上完成，或选择第三方支付工具。互联网金融承压上述银行人士认为，快捷支付的安全隐忧其实是整个互联网金融的隐忧。传统金融行业有非常完善的数据安全标准，互联网金融则以大数据时代为发展背景，其对数据安全和系统稳定性的要求达到前所未有的高度。而现实是承担安全重任的第一责任人仅是从事相关业务的企业主体，目前还未有更严格的标准和制度来做出更多的保障。上述银行人士说。在携程漏洞事件发生的当天，建行宣布，将支付宝快捷支付的限额由单笔5万元下调至5000元，单月20万元下调至5万元。至此，工农中建四大行达成统一战线，将矛头直指以支付宝为首的第三方支付。此前，工行将单笔限额由5万元下调为5000元，每月限额从20万元降为5万元；中行对支付宝快捷支付限额下调至单笔1万元，单日限额从5万元下调至1万元，农行随后跟进调整至相同标准。和央行的口吻一致，四大行先后表示，设置转账及交易支付限额的出发点和落脚点是客户资金安全。此次四大银行降低快捷支付额度，更多是出于安全考虑，防范支付风险，是银行作为金融市场成员的正当举措。中国电子商务研究中心互联网金融部助理分析师钱海利对《国际金融报》记者表示，而未对网银额度做出限制，意在将原本快捷支付端的客户转移至网银端，让拥有着较为严格风控技术的网银把控核心账户控制权，与第三方支付机构开展公平竞争。不过，钱海利也表示，互联网金融产品创新层出不穷，银行在网络理财产品上的竞争力大幅减弱，面对客户、数据、资金的不断流失，银行一直在想办法压制宝宝军团发展，限制快捷支付额度，一定程度上能减缓银行资金流出速度。据中国电子商务研究中心监测数据显示，2013年，中国第三方支付机构交易规模达到18.5万亿元，同比增长52.3%。第三方移动支付市场交易规模突破1.2万亿元，同比增长率高达707%。此外，四大行在此时纷纷调低快捷支付限额，也是支持央行对第三方支付加强监管的具体举措。钱海利说。

上一条：Windows版eBay应用正式宣告“死亡”
相关推荐