重視ATM“掃碼取現(xiàn)”的風(fēng)險(xiǎn)

近日，中國人民銀行四川瀘州市分行協(xié)助公安機(jī)關(guān)偵辦的一起電詐案中，涉案資金進(jìn)入一級卡后，嫌疑人在瀘州市三家銀行ATM機(jī)具上取走現(xiàn)金，但公安機(jī)關(guān)偵查發(fā)現(xiàn)卡主本人當(dāng)時(shí)遠(yuǎn)在省外異地。抓獲嫌疑人后，其供述利用銀行ATM掃碼取款功能，將ATM取款二維碼拍照傳給上家，實(shí)現(xiàn)“卡實(shí)際使用人遠(yuǎn)程操控，代理人現(xiàn)場取款”。在當(dāng)前支付便利化背景下，ATM掃碼取款業(yè)務(wù)作為“現(xiàn)金兜底”的有效保障措施之一，是商家偶發(fā)性零鈔備用不足、非工作時(shí)間零鈔短缺無法找補(bǔ)等情形下的重要應(yīng)急救濟(jì)渠道。因此，確保此項(xiàng)業(yè)務(wù)安全可靠，避免其被犯罪分子利用，成為銀行機(jī)構(gòu)反詐工作和涉賭涉詐“資金鏈”治理工作的當(dāng)務(wù)之急。本文以此案為例，分析犯罪分子青睞ATM掃碼取現(xiàn)的原因和該業(yè)務(wù)的高風(fēng)險(xiǎn)點(diǎn)，提出防范措施和建議。

ATM掃碼取現(xiàn)流程及相關(guān)制度規(guī)定

1.基本業(yè)務(wù)流程

對瀘州轄內(nèi)14家銀行機(jī)構(gòu)開展的ATM掃碼取現(xiàn)業(yè)務(wù)調(diào)查顯示，目前保留該業(yè)務(wù)的銀行機(jī)構(gòu)相關(guān)業(yè)務(wù)流程大致相同，以中國銀行為例，ATM掃碼取現(xiàn)業(yè)務(wù)流程如下：

（1）客戶在ATM機(jī)具界面上選擇“掃碼取款”，ATM界面展示二維碼。

（2）客戶登錄手機(jī)銀行，輸入登錄密碼，驗(yàn)證通過后在手機(jī)銀行頁面上點(diǎn)擊“掃一掃”。

（3）客戶用手機(jī)銀行掃碼功能掃描ATM機(jī)具界面上的二維碼，進(jìn)入手機(jī)銀行的掃碼取款操作頁面，選擇取款賬戶，查看可用余額。

（4）客戶點(diǎn)擊手機(jī)銀行頁面上掃碼取款的快捷金額，或者手動輸入100的整數(shù)倍金額，點(diǎn)擊“下一步”，手機(jī)銀行頁面提示操作成功。

（5）客戶在ATM機(jī)具頁面輸入取款密碼，取走現(xiàn)金。

2.相關(guān)制度規(guī)定

ATM機(jī)具單日單筆取款限額：按照銀聯(lián)相關(guān)業(yè)務(wù)規(guī)則，銀行機(jī)構(gòu)制定的內(nèi)控制度普遍規(guī)定，ATM機(jī)具單日累計(jì)取款限額為2萬元，單筆取款限額3000元至1萬元不等。

現(xiàn)金存取業(yè)務(wù)客戶身份識別：《金融機(jī)構(gòu)客戶身份識別和客戶身份資料及交易記錄保存管理辦法》（以下簡稱《辦法》）第八條規(guī)定：商業(yè)銀行、農(nóng)村合作銀行、城市信用合作社、農(nóng)村信用合作社等金融機(jī)構(gòu)為自然人客戶辦理人民幣單筆5萬元以上或者外幣等值1萬美元以上現(xiàn)金存取業(yè)務(wù)的，應(yīng)當(dāng)核對客戶的有效身份證件或者其他身份證明文件。

代理取現(xiàn)業(yè)務(wù)客戶身份識別：《辦法》第二十條規(guī)定：金融機(jī)構(gòu)應(yīng)采取合理方式確認(rèn)代理關(guān)系的存在，在按照本辦法的有關(guān)要求對被代理人采取客戶身份識別措施時(shí)，應(yīng)當(dāng)核對代理人的有效身份證件或者身份證明文件，登記代理人的姓名或者名稱、聯(lián)系方式、身份證件或者身份證明文件的種類、號碼。

3.風(fēng)險(xiǎn)控制措施

14家參與調(diào)查的銀行機(jī)構(gòu)中，ATM端需“密碼驗(yàn)證”的機(jī)構(gòu)為100%；無一家機(jī)構(gòu)在ATM端采取“人臉識別”驗(yàn)證措施；取款二維碼展示時(shí)長為60秒的機(jī)構(gòu)2家，占比14.29%；取款二維碼展示時(shí)長60秒以上的機(jī)構(gòu)12家，占比85.71%，其中2家機(jī)構(gòu)展示時(shí)長為300秒。手機(jī)端：根據(jù)登錄驗(yàn)證方式不同，有“密碼驗(yàn)證”“指紋驗(yàn)證”“人臉驗(yàn)證”“本機(jī)號碼一鍵登錄”等驗(yàn)證方式，驗(yàn)證率100%；支持讀取手機(jī)本地相冊中二維碼照片的機(jī)構(gòu)11家，占比78.57%；支持手機(jī)讀取另一部手機(jī)展示二維碼照片的機(jī)構(gòu)13家，占比92.86%。

因ATM單日及單筆取款限額均在5萬元以下，按照《辦法》相關(guān)規(guī)定，銀行機(jī)構(gòu)無需對ATM取現(xiàn)客戶采取身份識別措施，核實(shí)其是否為本人取款或代理取款，無需核驗(yàn)實(shí)際取款人身份。因此，現(xiàn)行ATM掃碼取現(xiàn)的業(yè)務(wù)流程設(shè)計(jì)符合相關(guān)制度，已盡到制度規(guī)定的真實(shí)性審核義務(wù)。

“掃碼取現(xiàn)”方式被犯罪分子青睞

公安機(jī)關(guān)通報(bào)，洗錢團(tuán)伙從“卡商”手里購買大量他人銀行卡，往往通過網(wǎng)絡(luò)招聘等方式雇傭“車手”取現(xiàn)，拆分、轉(zhuǎn)移涉賭涉詐資金。ATM掃碼取現(xiàn)業(yè)務(wù)是其青睞的“資金鏈”斷鏈交易，有利于他們物理隔斷涉案“資金鏈”，規(guī)避公安機(jī)關(guān)追蹤打擊。

犯罪分子偽裝身份不易被覺察。雖然5萬元以下取現(xiàn)業(yè)務(wù)無需出示身份證件，但相較柜臺取現(xiàn)業(yè)務(wù)，犯罪分子更青睞ATM取款。原因是銀行網(wǎng)點(diǎn)柜臺辦理業(yè)務(wù)要排隊(duì)、需工作時(shí)間辦理，刻意偽裝等異常行為會引起關(guān)注。瀘州這起案例中，負(fù)責(zé)取現(xiàn)的“車手”一般是在深夜、凌晨等非工作時(shí)間，通過佩戴假發(fā)、眼鏡、口罩等方式偽裝身份后在ATM取走現(xiàn)金。

上家與“車手”無需交付實(shí)物卡。本案中，洗錢團(tuán)伙通過網(wǎng)絡(luò)招聘“車手”，達(dá)成初步意向后即通過“土豆”“飛機(jī)”等小眾聊天軟件聯(lián)系，部分聊天軟件有“閱后即焚”功能，隨時(shí)清除聊天記錄。利用ATM掃碼取現(xiàn)的方式洗錢，上家與“車手”無需交付實(shí)物卡，互相不認(rèn)識，完全通過網(wǎng)絡(luò)聯(lián)系，即便“車手”被抓也不會牽連出上家。

阻斷公安機(jī)關(guān)進(jìn)一步偵查追蹤。一是涉案卡追蹤難。掃碼取現(xiàn)無實(shí)物卡，主要由上家在異地操作手機(jī)遙控指揮，“車手”被抓后往往記不清以往涉案卡的姓名和卡號，公安機(jī)關(guān)難以追蹤，涉案卡還可以繼續(xù)使用。二是涉案資金追蹤難。本案“車手”供述，取現(xiàn)成功后，按上家指示，將通過USTD（泰達(dá)幣，簡稱U幣）繼續(xù)轉(zhuǎn)移涉案資金。具體操作為：下一步由其自行找U幣商購買U幣，然后聯(lián)系上家，將U幣提現(xiàn)至指定錢包地址，至此，完成一次完整的洗錢流程。

可見，ATM掃碼取現(xiàn)是新的洗錢手法中重要的一環(huán)。此洗錢流程中，公安機(jī)關(guān)具備抓捕打擊條件的只涉及“車手”和U幣商，最多以幫信罪判處。而真正的洗錢團(tuán)伙上家隱身幕后，可以通過網(wǎng)絡(luò)源源不斷地招聘“車手”。“資金鏈”治理治標(biāo)不治本，且洗錢團(tuán)伙上家可通過境外虛擬幣交易所直接將U幣提現(xiàn)至境外銀行賬戶，將涉案資金轉(zhuǎn)移出境，危害極大。

ATM掃碼取現(xiàn)業(yè)務(wù)風(fēng)險(xiǎn)點(diǎn)

客戶身份驗(yàn)證環(huán)節(jié)。一是辦理相關(guān)業(yè)務(wù)時(shí)，未禁止手機(jī)銀行掃描識讀相冊圖片，或另一部手機(jī)展示的照片。二是ATM取款二維碼展示時(shí)間過長，如被調(diào)查機(jī)構(gòu)中兩家銀行的展示時(shí)間長達(dá)5分鐘。三是客戶身份驗(yàn)證措施整體偏弱，ATM端未采取人臉識別等輔助措施，與業(yè)務(wù)風(fēng)險(xiǎn)等級不匹配。

可疑交易監(jiān)測環(huán)節(jié)。未將相關(guān)交易的地址位置信息監(jiān)測納入交易監(jiān)測范圍，監(jiān)測模型未比對手機(jī)銀行發(fā)起交易指令的位置信息與ATM機(jī)具所在的位置信息是否一致。

風(fēng)險(xiǎn)防范策略

1.修改內(nèi)控制度完善相關(guān)業(yè)務(wù)風(fēng)控措施

鑒于本案暴露出的新型洗錢手法危害嚴(yán)重，打擊犯罪分子困難，建議銀行機(jī)構(gòu)針對ATM掃碼取現(xiàn)這一高風(fēng)險(xiǎn)業(yè)務(wù)修訂相關(guān)內(nèi)控制度和業(yè)務(wù)流程，提高業(yè)務(wù)風(fēng)險(xiǎn)防控等級。建議客戶身份驗(yàn)證環(huán)節(jié)縮短取款二維碼展示時(shí)長、禁止讀取相冊或照片、在ATM端輔助采取人臉識別等措施；建議交易監(jiān)測環(huán)節(jié)將手機(jī)終端和ATM機(jī)具的位置信息納入監(jiān)測模型，進(jìn)行一致性比對。

2.排查存量機(jī)具及時(shí)改造升級應(yīng)用程序

近期，多家銀行公告取消或調(diào)整無卡取款業(yè)務(wù)，暴露出相關(guān)業(yè)務(wù)存在風(fēng)險(xiǎn)隱患，業(yè)務(wù)安全性有待提升。建議銀行機(jī)構(gòu)開展全面排查，組織測試，開展攻防演練，不能經(jīng)受模擬攻擊考驗(yàn)的及時(shí)暫停業(yè)務(wù)；聯(lián)合ATM生產(chǎn)廠商，及時(shí)改造系統(tǒng)，升級應(yīng)用程序，提升技術(shù)防范水平，阻斷涉賭涉詐“資金鏈”。

3.全力協(xié)助公安機(jī)關(guān)追蹤涉案銀行卡

本案中，人民銀行瀘州市分行指導(dǎo)銀行機(jī)構(gòu)采取后臺提數(shù)方式協(xié)助公安機(jī)關(guān)，在不知曉取款卡號的情況下成功追蹤涉案卡，固定了到案“車手”的犯罪證據(jù)，掌握了涉案卡號以便開展進(jìn)一步研判。具體提數(shù)邏輯為“交易渠道為ATM+交易類型為掃碼取款”，篩查出可疑交易后提取監(jiān)控錄像協(xié)助公安機(jī)關(guān)予以確認(rèn)。