移動支付的安全“密碼”

董莉

二維碼支付一度因安全性被央行叫停，那么如何在方便快捷的同時保障支付的安全性呢？

二維碼是打通線上線下的重要入口，隨著行業標準、技術標準的出臺以及支付環境不斷完善，二維碼已經廣泛應用于制造業、物流業、零售業、餐飲業等領域。在支付體驗方便快捷的同時，風險也相伴而生，解決好安全問題是二維碼支付發展的關鍵。

中國支付清算協會調研顯示，安全性是移動支付用戶最看重的因素，占比達73.4%。“移動支付產品和服務所涉及到的客戶資金規模和信息流量迅速提升，吸引了一些不法分子的關注。”中國支付清算協會副秘書長王素珍說，“這些病毒可以讀取、截獲手機短信驗證碼，再結合用戶的身份證、銀行卡號等信息，截取用戶的信息。再有一些不法分子通過釣魚網站，將木馬病毒植入到二維碼當中。”

在獵網平臺2016年接到的手機端用戶舉報數量中，有4265人是通過銀行轉賬、第三方支付、手機充值等方式主動給不法分子轉賬，占比66.4%；掃二維碼支付的有107人，占比1.7%。從涉案總金額統計來看，釣魚網站支付，占比48.4%，累計2098.3萬元；掃二維碼支付占比0.9%，累計38.0萬元。

在王素珍看來，移動支付涉及到用戶的隱私和資金安全，移動支付發展越快，應用得越廣，安全性就越重要。“要把安全問題放在移動支付發展優先考慮的位置，還要加強產業鏈上的安全合作，統一安全、技術標準和業務規則，完善信息共享機制，實現風險的聯防聯控。”

支付閉環內的風險

二維碼是一種能存儲信息的特定格式圖片，可以看作一種秘文形式的信息載體，而二維碼支付通常指的就是包含了商戶信息和金額的訂單信息。從技術來說，二維碼支付的本質和網絡支付一致，安全性與網站類似，也就是說亂掃二維碼就等于亂瀏覽網站，風險勢必隨之存在，因此，二維碼支付面臨的安全質疑并不是新生事物。

隨著通過二維碼傳播釣魚網站、發布手機病毒等詐騙活動逐漸增多。2014年3月，央行下發的緊急文件《中國人民銀行支付結算司關于暫停支付寶公司線下條碼（二維碼）支付等業務意見的函》，稱“條碼（二維碼）應用于支付領域有關技術、終端的安全標準不明確，相關支付撮合驗證方式的安全性尚存質疑，存在一定的支付風險隱患”，叫停條碼、二維碼支付等面對面支付服務。

中國金融認證中心（CFCA）助理總經理張行介紹，二維碼只是一種承載信息的載體，可以承載商戶信息、交易金額、支付憑證信息等正常的交易信息，也可以承載釣魚網址或者惡意代碼的下載網址等惡意信息。同時，二維碼支付是一種創新的互聯網支付方式，而對于一些創新型的互聯網業務，為了保證業務前期的快速推廣，通常業務經營者會在用戶體驗和業務安全的天平上向用戶體驗傾斜，在業務安全方面考慮不多，投入不足，從而讓一些不法分子有機可乘。

“為了保證二維碼能夠在支付業務中安全使用，我們需要對二維碼支付業務設計完整的安全機制，保證二維碼在發碼、傳輸、應用的過程中不被惡意利用，不被裝入惡意信息。”張行說。

就刷卡來說，傳統的POS刷卡流程是一個四方模式下的循環往復：用戶在進行消費的商家POS機上刷卡，收單機構的POS機將讀取的刷卡信息通過數據線（通常是電話線或網絡接口）發送到清算組織（中國是銀聯），再通知到用戶所用卡片的發卡銀行，經銀行確認無誤，再原路返回到POS終端，即完成了一筆支付流程。

張行認為，傳統的POS刷卡流程是在一個相對封閉的環境中完成，卡號、交易密碼等敏感信息泄露的風險較小。而互聯網支付業務，包括二維碼支付，支付過程是在開放的互聯網環境中完成的，卡號、交易密碼等敏感信息存在很大的泄露風險。通過采用Token技術可以在很大程度上降低持卡人敏感信息泄露的風險。

Token是國際芯片卡標準化組織EMVCo于2014年發布的一種加密技術，在商家和用戶在交易過程當中，真實賬號被一個虛擬的賬號代替。Token由發卡方發行并且讀取，在交易過程中，即使截獲了Token也無法進行交易。另外，虛擬賬號和一款具體的設備綁定在一起。如果手機丟失，用戶只需通知銀行重新分配一個等電子令牌即可，而無需重新發卡，節約成本的同時也提高了支付的安全性。EMVCo在規范中描述了四種典型場景：在線商戶、數字錢包、非接NFC支付、二維碼支付，包括了線上支付場景與線下支付場景。

不過，Token技術在降低了個人隱私信息泄露風險的同時，如何保護好Token本身的安全也很重要。“在Token的產生、Token與真實卡號之間的轉換、Token的傳輸、Token的保存等環節，都應該有完善的保護措施。”張行說，“比如引入電子簽名技術，從而確保Token自身的安全。”

增加安全認證

如今的掃碼支付形式有兩種：一種是主掃，即收款碼支付，商戶提供收款二維碼，消費者用手機APP掃碼支付。另一種是被掃，即付款碼支付，是消費者提供付款二維碼，而商戶使用掃碼槍等設備掃碼收款。

在張行看來，基于掃碼形式的不同也會帶來不同的隱患。二者相較，張行更傾向主掃，主掃模式使用戶擁有更多的支付主動權，被掃較適合公信力高的商超，容易有交易糾紛的場景則不適合。

他認為，電子簽名技術是目前互聯網業務中最成熟可靠的一種技術手段，它可以有效地解決互聯網業務中的身份認證、防止交易信息篡改、保證交易信息傳輸和存儲安全的問題。在二維碼支付業務中，也可以引入電子簽名技術，保證二維碼制作、傳輸發布、驗證過程的安全。

具體來說，第三方電子認證機構在二維碼發布者的信息通過審核之后，為二維碼發布者發放一張具有法律效率的數字證書。在二維碼產生的過程中，用發布者的數字證書對二維碼信息進行簽名，從而保證二維碼信息不被篡改和抵賴；在掃碼獲取信息后通過驗證二維碼的電子簽名信息，從而驗證二維碼發布者身份的真實性和二維碼信息沒有被篡改。在支付交易出現問題的時候，也可以通過二維碼的電子簽名追溯源頭。

據了解，目前，支付寶、微信支付、中國銀聯及多家銀行等均已在二維碼支付中采用數字簽名、安全加密等技術手段，確保二維碼生成、傳輸和解析在各自體系內閉環運行，技術上保障用戶資金和信息安全。支付寶在產品功能上做了一些嘗試，比如通過收錢碼付錢后，商家的手機端都會收到到賬語音提示，讓商家不用擔心少收錢或者款付到別人的二維碼中。

另外，去年12月12日，中國銀聯也推出了二維碼的支付標準，包括《中國銀聯二維碼支付安全規范》和《中國銀聯二維碼支付應用規范》兩個規范，表明要遵循現有銀行卡支付的四方模式，各方現有的利益分配不會收到任何影響，不存在因資金沉淀在虛擬賬戶帶來金融風險。另外一點突出的是采用Token技術對賬戶敏感信息進行保護，確保賬戶信息在存儲、處理和傳輸過程中的安全性。

全國政協委員梅興保也認為，盡管國內二維碼支付在市場成熟度上已領先全球，但業務和技術創新性上仍具有很大成長空間，應鼓勵市場機構通過業務和技術創新防控風險。通過技術創新對二維碼標識加裝防偽標識，避免因誤掃二維碼而導致的欺詐發生，同時在風險事件發生后，可通過商業保險等方式化解消費者和商戶風險損失。