條碼易復(fù)制漏洞引發(fā)詐騙

2017年3月，央視報(bào)道稱在浙江寧波，有共享單車出現(xiàn)了“惡意”二維碼，用戶掃碼后共享單車不能解鎖，而是轉(zhuǎn)到了私人的微信支付頁面，有用戶上當(dāng)受騙。此外2017年7月，重慶當(dāng)?shù)孛襟w報(bào)道，有商戶反映二維碼被替換，隨后警方抓獲兩名犯罪嫌疑人，經(jīng)了解他們通過篡改20多家商戶的二維碼方式獲利1萬多元。

中國(guó)支付清算協(xié)會(huì)執(zhí)行副會(huì)長(zhǎng)兼秘書長(zhǎng)蔡洪波表示，與傳統(tǒng)的銀行卡不同，條碼支付的條碼具有可視化特點(diǎn)，容易被復(fù)制、截屏、傳輸，可以被打印，安全防護(hù)能力不強(qiáng)。很多不法分子就是針對(duì)條碼防護(hù)能力弱、使用環(huán)境可控性差這些特點(diǎn)實(shí)施詐騙。如靜態(tài)條碼被調(diào)換、偽造條碼進(jìn)行欺詐、條碼中嵌入木馬病毒程序等導(dǎo)致客戶個(gè)人信息泄露和賬戶資金被盜用等。

根據(jù)央行新規(guī)，條碼支付交易驗(yàn)證可以組合選用三類要素：一類是僅用戶本人知悉的要素，如靜態(tài)密碼;一類是僅用戶本人持有并特有的，不可復(fù)制或者不可重復(fù)利用的要素，如經(jīng)過安全認(rèn)證的數(shù)字證書、電子簽名，以及通過安全渠道生成和傳輸?shù)囊淮涡园踩?yàn)證碼等;另一類則是用戶本人的生物特性要素(如指紋)。

由此，風(fēng)險(xiǎn)防范能力被分成了四類：達(dá)到A級(jí)，即采用數(shù)字證書或電子簽名在內(nèi)的兩類以上有效要素進(jìn)行驗(yàn)證的，可與客戶自主約定單日累計(jì)限額。也就是說，客戶可以自己決定每日消費(fèi)限額。

最低一級(jí)則是D級(jí)，即前述所說小商戶貼在柜臺(tái)上的靜態(tài)條碼，同一客戶單個(gè)銀行賬戶或所有支付賬戶單日累計(jì)交易金額應(yīng)不超過500元。

中間的B級(jí)，采用不包括數(shù)字證書、電子簽名在內(nèi)的兩類(含)以上有效要素對(duì)交易進(jìn)行驗(yàn)證的，單個(gè)客戶單日交易限額為5000元。C級(jí)則是采用不足兩類要素對(duì)交易進(jìn)行驗(yàn)證的，交易限額為1000元。

三問掃碼限額

1、500元限額夠用嗎?

“條碼支付與傳統(tǒng)銀行卡等支付工具相比在交易安全性上存在一定不足，人民銀行堅(jiān)持條碼支付小額、便民的定位，對(duì)條碼支付風(fēng)險(xiǎn)防范能力進(jìn)行分級(jí)。”央行相關(guān)負(fù)責(zé)人在此前的答記者問中表示。“小額、便民”是其中的關(guān)鍵詞。

一家媒體曾在新規(guī)發(fā)布日當(dāng)天的調(diào)查稱，有超過60%的網(wǎng)友認(rèn)為500元的限額不能滿足需求。不過，據(jù)新京報(bào)記者小范圍調(diào)查，如果不用于諸如家用電器之類的大額支出，500元可以基本滿足周圍同事的日常支出。

如在北京工作的張先生對(duì)記者表示，按照早飯10塊、午飯和晚飯?jiān)?0元左右算，即使都用掃碼支付，500元的靜態(tài)條碼限額滿足日常的生活也綽綽有余。

“咱們說的靜態(tài)碼是貼在收銀臺(tái)上的一個(gè)二維碼，這個(gè)不夠用，其實(shí)有其他的一個(gè)措施，商戶主動(dòng)去掃顧客，也可以選擇銀行卡支付，或者現(xiàn)金。”蘇寧金融研究院互聯(lián)網(wǎng)金融研究中心主任薛洪言對(duì)新京報(bào)記者解釋。

根據(jù)中國(guó)支付清算協(xié)會(huì)發(fā)布的《2017年移動(dòng)用戶調(diào)研報(bào)告》，2017年，有43.0%的用戶單筆支付金額在100元以下，29.5%的用戶單筆支付金額在100-500元;14.8%的用戶單筆支付金額在500-1000元;12.6%的用戶單筆支付金額在1000元以上。也就是說72.5%的用戶不受限。

薛洪言認(rèn)為，從場(chǎng)景上來看，500元錢的限額制定應(yīng)當(dāng)經(jīng)過了一個(gè)精確的測(cè)算，即根據(jù)歷史的交易情況，能夠滿足絕大部分用戶線下掃碼支付的需求，所以對(duì)大多數(shù)用戶來說不會(huì)有太大的影響。