剛過去的一段時間里，銀行卡被網(wǎng)上盜刷的各種新聞屢屢見諸報端。

　　在正文開始前，先普及下“網(wǎng)上盜刷”的基本知識：

　　除電話詐騙外，目前銀行卡主要通過技術(shù)手段的盜刷犯罪手段主要分為線上和線下兩種。線下盜刷從復制磁條盜竊密碼到改造POS復制付款令牌等等不一而足，隨著金融IC卡的逐漸普及以及降級交易的逐漸關(guān)閉，此類風險事件的發(fā)生概率在逐漸減少;而網(wǎng)上盜刷這個新的犯罪手法，則在短短的五六年內(nèi)急速發(fā)展。由于網(wǎng)上盜刷具有批量化、無需接觸受害者實體介質(zhì)等特點，總量已反超線下盜刷。

　　而在很多報道中，以分析技術(shù)問題為主要內(nèi)容，以痛斥銀行不給賠付最終第三方支付解決問題以及電信運營商管理不力導致驗證碼泄露結(jié)尾，卻只字不提網(wǎng)上盜刷的渠道所存在的問題，仿佛“它”就應(yīng)該擺在那里不做改變一樣。然而要想解決網(wǎng)上盜刷問題，渠道絕不應(yīng)該是被忽視的地方。

　　快捷支付的前世今生

　　前面提到的網(wǎng)上盜刷的渠道，大部分都是通過一個名為“快捷支付”的業(yè)務(wù)進行的。而這個業(yè)務(wù)本質(zhì)上是第三方支付所提供，由支付寶首創(chuàng)，在發(fā)展一定時間后各家第三方支付開始跟進。

　　支付寶在當時發(fā)展快捷支付是有其客觀需求的。在淘寶發(fā)展的早期，網(wǎng)上支付量快速增長，特別是“雙11”這類人造購物節(jié)日更是集中了很長一段時間的流量在一天內(nèi)爆發(fā)。而大部分銀行的網(wǎng)關(guān)支付相關(guān)建設(shè)并沒有為這種爆發(fā)性的交易需求做好準備，導致實際支付成功率與支付寶所期望的有一定差距。

　　因此，支付寶便要求銀行為其提供類似于代扣水電費保費之類的代扣功能，繞開了銀行本身的網(wǎng)關(guān)支付，減少了雙方核心系統(tǒng)之間的通訊環(huán)節(jié)，提高了支付寶實際付款的成功率。鑒權(quán)/核身+代扣，這就是快捷支付的早期形態(tài)。

　　在那個時候，從銀行角度看快捷支付并不是一個太大的問題。在收益方面有支付寶沉淀的存款和個人客戶新開卡，還可以降低網(wǎng)關(guān)支付的壓力;在風險方面支付寶當時已經(jīng)發(fā)展到一定規(guī)模因此卷款跑路的可能性很小，如果出現(xiàn)小范圍風險問題也可以將接口關(guān)閉，完美。至于互聯(lián)網(wǎng)金融，那是什么?

　　2011年4月，支付寶的快捷支付正式推出，風險問題也隨之而來。同年8月銀監(jiān)會下發(fā)《關(guān)于加強電子銀行信息管理工作的通知》，要求快捷支付類產(chǎn)品首筆業(yè)務(wù)前必須經(jīng)由銀行方進行身份驗證。而快捷支付實際上只是由第三方支付向銀行發(fā)送客戶在銀行所預(yù)留相關(guān)信息和手機號碼來核對客戶身份進行開通，并不是由銀行在其自身的物理或電子渠道進行客戶身份驗證，自然更談不上確認客戶自行開通的意愿。銀行據(jù)此向支付寶提出修改意見，但有傳言稱支付寶以影響客戶體驗為由拒絕了，這也是之后2014年工行支付寶之爭中工行方指責支付寶“快捷支付違法”、“拒不改正”的原因。

　　在現(xiàn)在看來，銀監(jiān)會在2011年所下發(fā)的管理文件從風控角度講其實已經(jīng)看到了快捷支付的風險點所在，在執(zhí)行方面卻出現(xiàn)了問題。在之后的幾年中，各類隱私泄露日趨嚴重，通過快捷支付渠道的網(wǎng)上盜刷案件急速增加，而包括支付寶在內(nèi)的第三方支付早已經(jīng)發(fā)展到一個很大的規(guī)模，快捷支付為很多客戶所接受，接口已經(jīng)不能隨意關(guān)閉，如不尋找其他方式進一步收緊限制，銀行原本的風控設(shè)計將淪為空談。

　　2014年3月前后，四大行分別下調(diào)包括支付寶在內(nèi)的所有第三方支付快捷支付渠道限額，以此來降低被盜客戶在盜刷案件中的損失金額。但四大行安全程度較高的網(wǎng)關(guān)支付限額并未同步調(diào)整，因此在部分業(yè)內(nèi)人士看來，此舉應(yīng)是監(jiān)管層非公開指導下的風險防控行為。

　　然而當時恰逢余額寶發(fā)布不足一年，銀行間市場資金荒仍未退去，高企的貨幣基金利率所引發(fā)的投資狂熱使得余額寶在某個層面上成為了支付寶的護身符，“誰敢動支付寶就是要動余額寶，而誰敢動余額寶就是與人民為敵”儼然成了那個時間段網(wǎng)絡(luò)上的政治正確，四大行的限額調(diào)整自然被罵的狗血淋頭，即使再三強調(diào)通過網(wǎng)關(guān)支付仍可投資余額寶也收效甚微。

　　最終，事情以支付寶指責工行“知法犯法”后將備付金存管賬戶轉(zhuǎn)至建行，四大行逐步將原來由各省分行分頭接入的各家第三方支付快捷支付接口統(tǒng)一上收至總行管理，監(jiān)管當局再次發(fā)文強調(diào)對銀行和第三方支付公司的合作要加強管理而結(jié)束。至于四大行到底是為了風險控制還是如阿里所指責的那樣為了限制余額寶發(fā)展，已成為一場羅生門。

　　防彈衣的缺口

　　事實上，快捷支付被銀行詬病已久，從開通到每次支付，都與銀行傳統(tǒng)的風控理念相去甚遠。目前快捷支付的開通方式是由第三方支付向銀行發(fā)送客戶輸入的銀行所預(yù)留相關(guān)信息和手機號碼來核對客戶身份進行開通，并不驗證銀行卡密碼。但從銀行角度來看，個人客戶資金的安全措施最重要的是密碼以及本人現(xiàn)場驗證，其他信息和方式都僅僅是輔助。而快捷支付所驗證的身份資料、預(yù)留手機號等都不是銀行眼中的關(guān)鍵性安全因素，在實際上打破了銀行原有的支付安全體系。即使銀行后來為競爭而推出了類快捷支付產(chǎn)品，但開通驗證內(nèi)容中必須有卡密碼，這也從一個側(cè)面驗證了銀行和第三方支付對關(guān)鍵性安全因素的認識差異。

　　2015年底，馬云對傳統(tǒng)金融和互聯(lián)網(wǎng)企業(yè)的風控區(qū)別是這么評價的：“傳統(tǒng)金融可能做的風險是把防彈衣做得越來越厚，越來越好，而我們的創(chuàng)新是讓殺手根本不可能靠攏你?！睆倪@個角度看，快捷支付實質(zhì)上是第三方支付在銀行以密碼為安全核心的“防彈衣”上破壞出的一個缺口，雖然有安全措施，但“殺手”只要被漏過來，資金被盜就是必然的結(jié)局。因此，目前通過快捷支付被盜的資金由第三方支付而不是銀行進行賠付也是有其道理所在，并不是像某些媒體所說銀行店大欺客只有第三方支付才為客戶考慮之類。

　　隱私的泄露與黑色產(chǎn)業(yè)鏈

　　如果僅僅是防彈衣上存在缺口但無人利用，并不會有目前如此猖獗的盜刷行為。然而目前個人隱私泄露的情況可以說是觸目驚心，快捷支付與銀行方核對的客戶相關(guān)信息早已經(jīng)不能作為識別客戶身份的完善依據(jù)，更不足以成為防范風險的屏障。

　　4月10日，中央電視臺新聞三十分節(jié)目中播出了銀行卡盜刷的來龍去脈。大概內(nèi)容說的是犯罪分子通過偽基站發(fā)送釣魚短信、架設(shè)免費WIFI、改裝POS等方式盜取個人信息、短信驗證碼和銀行卡信息，再通過復雜的黑色產(chǎn)業(yè)鏈最終將資金竊取。

　　事實上，包括你我在內(nèi)的絕大多數(shù)普通人的隱私早已經(jīng)在某一群人手中流傳。任何一個存儲海量個人信息的網(wǎng)站被“拖庫”或被內(nèi)部人賣出后，這群人的饕餮盛宴便隨之開始，而依靠這些個人信息和密碼來進行客戶身份驗證的網(wǎng)站自然成為下一輪攻陷的目標，最終他們的數(shù)據(jù)庫將會成為比你我更了解自己的存在。例如某些人仍在津津樂道的“社工庫”，暴露在大眾面前的不過是冰山一角，多個不同渠道拿到的數(shù)據(jù)庫根據(jù)身份證和手機號等關(guān)鍵鍵值就可以將信息匹配在一起，對每個人的隱私信息都有了完美的畫像，在黑色產(chǎn)業(yè)鏈中形成了另外一個意義上的“千人千面”。

　　除了非法手段之外，很多企業(yè)對客戶的隱私的漠視也是隱私泄露的重要原因。比如目前移動要求客戶更換4G卡時將客戶常去的地址提供給電話營銷人員、之前爆出的螞蟻花唄催收通過聯(lián)系關(guān)系人來提醒借款人進行還款的方式等，都是將客戶隱私交給組織內(nèi)權(quán)限較低的人員甚至外包人員，大大增加了泄漏的可能和日后追責的難度。

　　至此，快捷支付與銀行所核對的信息已經(jīng)失去了驗證客戶本人身份和意愿的能力，只有手機驗證碼在苦苦抵擋。

　　躺著也中槍的電信運營商

　　“如果我決定用支付寶做我家大門的門鎖，被盜了之后可以指責它嘛?”這是筆者一個在移動工作的朋友所講的笑話。雖然聽起來是無稽之談，但這卻正是電信運營商在網(wǎng)上盜刷案件中所面臨的窘境。

　　短信驗證碼是快捷支付核對用戶身份的重要環(huán)節(jié)。然而手機通訊技術(shù)經(jīng)過了多年的發(fā)展，從模擬信號到GSM，再到現(xiàn)在的4G LTE以至未來的5G，技術(shù)一直在不斷的進步，網(wǎng)速越來越快，通話質(zhì)量越來越好。但各代技術(shù)卻有一個共同點：手機號碼及短信不作為重要安保措施。即使體量大如移動，也一直是在NFC這條路上前行。

　　這其實是很正常的思路。對電信運營商來說，主營的電信業(yè)務(wù)實際上所涉及的客戶資金只有話費，而話費提現(xiàn)要經(jīng)過很復雜的流程且金額并不大，因此沒有多少對卡及手機號安全方面保護的想法，若不是國家要求恐怕連實名制的想法也沒有。畢竟即使卡丟失或補辦，對電信運營商及其客戶也不會有什么直接性的損失。直到有一天，他們被綁架到了快捷支付的戰(zhàn)車上，才發(fā)現(xiàn)自己雖沒有從中獲得多少利益，卻已被千夫所指。

　　目前，除了常見的偽基站偽造號碼以及批量發(fā)送釣魚短信之外，電信運營商所提供的一些服務(wù)也成為犯罪分子利用的工具。比如之前的短信保管箱保存短信驗證碼、最近爆出的通過郵箱發(fā)送詐騙短信等等。而虛擬運營商的170號段更是成為了釣魚短信發(fā)送的重災(zāi)區(qū)。這些問題都在實際上將快捷支付所撕開的缺口越扯越大。然而換個角度看，第三方支付這種“沒打招呼就從隔壁鄰居家拿根油條當門栓”的方式又有什么立場來指責“油條”不夠堅固呢?

　　監(jiān)管與未來發(fā)展

　　前面的分析里，銀行、第三方支付公司、電信運營商看起來各自有各自的原因和委屈，然而即使誰都沒錯，用戶的錢被盜了也是事實。因此整個鏈條上的企業(yè)都應(yīng)該主動承擔更多的社會責任，畢竟資金的風險問題還是遵循著木桶理論的。目前，銀行及電信運營商已在電話號碼用戶識別、換卡二次驗證、偽基站自動排查、釣魚網(wǎng)站攔截等方面做了大量的工作，但對于快速擴散的網(wǎng)上盜刷案件來說，仍有很長的路要走。

　　同時，監(jiān)管方面并沒有選擇繼續(xù)等待。

　　2015年12月底，央行出爐了《非銀行支付機構(gòu)網(wǎng)絡(luò)支付業(yè)務(wù)管理辦法》。在這個文件中，央行強調(diào)了銀行是客戶資金安全的管理責任主體，應(yīng)在首筆交易時自主識別客戶身份并與客戶直接簽訂授權(quán)協(xié)議，承諾無條件全額承擔此類交易的風險損失先行賠付責任，這其實是對銀行提出了對快捷支付特別是開通方面的管理要求，與11年銀監(jiān)會的文件在本質(zhì)上一脈相承。

　　另外，《辦法》中也規(guī)定了支付機構(gòu)對不能有效證明因客戶原因?qū)е碌馁Y金損失及時先行全額賠付，并對支付機構(gòu)進行了風險分類，風控能力較弱的第三方支付每筆200元以上非定期的快捷支付都必須由銀行方進行驗證，風控能力較好的第三方支付可以與銀行通過協(xié)議自主約定由支付機構(gòu)代替進行交易驗證，但必須將支付相關(guān)信息告知銀行。

　　2016年4月，《非銀行支付機構(gòu)分類評級管理辦法》正式出臺。結(jié)合前面提到的《非銀行支付機構(gòu)網(wǎng)絡(luò)支付業(yè)務(wù)管理辦法》來看，一些技術(shù)能力不足，業(yè)務(wù)水平有限，風控能力較差的中小型第三方支付公司將逐漸弱化，直至退出舞臺;而技術(shù)能力較強、業(yè)務(wù)水平較高、風控能力較強的大型第三方公司將獲得優(yōu)待。

　　同月，中央十四部委聯(lián)合印發(fā)了《非銀行支付機構(gòu)風險專項整治工作實施方案》，第三方支付包括快捷支付在內(nèi)的直連銀行模式可能將在一段時間后走到終點，取而代之的可能是一個新的網(wǎng)絡(luò)支付結(jié)算平臺。

　　當這些監(jiān)管文件落實到位的時候，我們可能需要告別原有模式的快捷支付;而迎接我們的，則是一個依然便捷但更加安全的未來。