银行与第三方支付仍需风险防火墙

　　《经济参考报》于6月6日刊发了《支付密码被改　持卡人质疑交行风控》一文。近日，记者从持卡人方面获悉，对于信用卡被盗刷8552元一事，交行方面依然拒绝承担责任，并要求持卡人偿还被盗刷的欠款。“我和交行协商，交行方面说可以分三个月还款，前三个月可以不收取手续费和利息，但本金不能少还。”杨女士对《经济参考报》记者说。

　　杨女士称，“交行方面认为当时是我把个人信息泄露了，但至于为什么我的手机在没有收到密码修改的短信提示和验证码的情况下，就被修改了密码，交行不能给出明确的说法。”

　　今年5月8日，杨女士的交行信用卡被盗刷了8552元是分为三笔交易，通过第三方支付平台易宝支付进行，在一个名为宝物网的购物网站上下单完成的。至于这笔资金具体流向了哪个商户名下，则不得而知。

　　事实上，近年来，支付宝、微信、财付通等都建立起了庞大的支付链条，第三方支付工具也日渐成为银行与商户间的资金流通桥梁。不过，在这些合作过程中，资金风险隐患时常被消费者诟病，第三方支付金融终端等工具的漏洞也频频被不法分子所利用。

　　《经济参考报》记者查阅以往的案例发现，不法分子盗刷信用卡或银行卡有几种手段。一种是制造虚假第三方支付软件或网站，骗取网上或手机购物的持卡人输入银行卡信息，从而复制并伪造银行卡进行盗刷。还有一种更新的做法是，以办卡人的名义和自己的手机号开通第三方支付，并与办卡人的信用卡号捆绑，使用第三方支付的密码以及指定手机号收到验证码，直接转走卡内的资金。

　　另外，随着互联网技术的提高，平时只要在手机上输入银行卡在第三方支付的密码就可以轻松进行网购支付，但由此带来的风险是，如果手机遗失，很容易被不法分子利用。

　　一位业内分析人士指出，“如果，随意拿起一部已绑定了第三方快捷支付的手机，并同时获知该快捷支付开通者的身份证号。那么，登录快捷支付账户，在输入账户名后，点击忘记登录密码，之后输入手机短信上的验证码就可以进入更改密码界面。在完成修改密码并登录快捷支付账户，可以看到绑定的银行卡信息，同样运用找回密码功能更改银行卡快捷支付密码，接下来就可以顺利地转账或消费。”

　　北京邮电大学经济管理学院教授杨学成表示，“就信用卡盗刷来说，整个链条涉及商户、第三方支付机构和银行三方。从支付交易的各个环节所承担的风险责任来分析，商户承担了用户身份及购买行为风险识别的责任。”

　　“第三方支付机构受限于用户、商品和银行卡等信息不足，不太可能完全识别和控制交易环节中的风险。银行则负责对用户信用卡信息核对，提供不同安全级别的安全认证接口，一旦用户信息泄露，银行也很难做出判断。”杨学成认为，“支付风险控制是一个链条系统化、结构化的体系，一个安全的消费环境需要商户、第三方支付机构和金融机构三方共同营造，任何一方存在漏洞，都有可能引发安全风险。”

　　业内分析人士普遍认为，目前，越来越多的人选择快捷支付进行网上购物，但第三方移动支付行业的快捷支付功能，本身就面临着安全与快捷的矛盾。

　　今年4月，银监会与央行联合下发了《关于加强商业银行与第三方支付机构合作业务管理的通知》(银监发【2014】10号)，明确强调，“首次建立业务关联时，必须通过第三方支付机构和银行的双重身份鉴别”，在实践操作中，开通快捷支付时一般只需要第三方支付机构的身份鉴别。同时，还指出“第三方支付需要和银行共享客户和交易信息”，交易信息至少应包括：直接提供商品或服务的商户名称、类别和代码，受理终端(网络支付接口)类型和代码，交易时间和地点(网络特约商户的网络地址)，交易金额，交易类型和渠道，交易发起方式等；网络特约商户的交易信息还应当包括商品订单号和网络交易平台名称。但在实际操作中，部分第三方支付机构发送给银行的信息并不包括二级账户的信息，即银行只能看到有一笔钱交易，但无法得知资金具体流向和用途。

　　这意味着，银行需要在与第三方支付机构合作过程中，更严格地把控资金交易风险。一位第三方支付机构人士认为，“快捷支付领域应在安全和快捷之间找到平衡点，要在确保安全性的前提下，考虑缩短流程改进用户体验。快捷支付必须研发新技术提升支付安全，如新增指纹识别、声控识别等技术，或者考虑设定一定时间到账之类的方法。”