关于互联网支付安全的思考


来源:一个人的独立书评与思考    作者:大师兄    2017-5-18 9:25

互联网的特点之一,是让坏事传播得很快,而坏事之一的支付安全事件,因与金钱的关系,备受社会关注,所以轰动效应很强。其实互联网支付安全这个问题,从发展上来说还是个新事物,是时代与社会发展中,新老交替的必然产物。

总体来说,互联网时代里的支付安全问题产生来自二个根源。一是传统现金与银行卡安全体系不适用于互联网时代,是老旧的体系服务于新时代里的新事物。在银行与银联提供支付服务的时代里,个人支付依赖现金与银行卡,现金的支付安全基本无需考虑,社会将大众教育的很好,如何保护现金安全与识别伪钞的教育工作至今仍持续着。银行卡虽然推广二十余年,但因其服务较为封闭,仅限于银行网点、专业设备、银行网站范围内使用,用户使用的便捷性很差,也因为这种便捷性的丧失,支付安全环境整体上能得到较好的保障。随着互联网时代电子商务的兴起,交易行为由原来的线下,转为交易双方不见面的互联网上,这种新兴的电子商务交易服务是银行与银联不擅长的,银行和银联的技术与服务体系都是为支付结算搭建的,正是这种新生事物与老体系的不对称,使得基于互联网交易支付结算服务的另一新生事物-第三方支付出现。第三方支付是为互联网上的交易而生,所有的服务也基于交易的需求设计,为了便于交易,支付便捷性必须得到提高,支付开始从有卡时代走向无现金、无卡时代,支付结算服务便没有了原来时间与空间的限制。而这种新型支付结算服务,其安全却仍依赖老的安全体系与环境,这当然会产生新的问题。

二是货币电子化,原来货币主要是以纸币和银行账户中体现,但随着时代的发展,货币形态产生了改变,第三方支付机构均设立虚拟的支付账户,透过与银行账户的绑定,将用户资金变成了电子货币,在互联网上完成支出,这种电子货币依托于虚拟支付账户标记与存储,使得资金可以脱离了原有的银行结算账户。第三方支付机构为能更好的为交易双方提供支付结算服务,某种程度上不得不牺牲部分安全性,换取支付的便捷性,所以在支付账户资金汇划时,对用户的鉴权与交易的识别强度就会弱些。这样一来,就如同在银行结算账户安全体系中开了一个后门,使得犯罪分子有机会从安全性较薄弱的虚拟支付账户借道,窃取用户的资金。

以上的二个根源造成一种现象和催生了一种新型犯罪,现象是从支付安全角度看,出现了整体支付环境的安全,与个体支付环境不安全的特殊矛盾。也就是说支付安全在大的环境下是好的,风险仍是个小比率事件。但对于个体而言,几乎等于绝对风险,用户一旦遇到支付安全风险,几乎没有任何反制能力。而因此催生的新型金融犯罪行为,由于犯罪收益高,违法成本低,不便侦查与举证等原因,吸引了各类犯罪资源的聚集,渐成一种地下产业。

近年来,支付安全事件频发,社会各界对支付安全均有了一定的重视,上至政府,下至企业与个人,都或多或少的参与到支付安全环境的建设与教育中去,但由于部分历史遗留问题,支付安全环境虽不断改善,但支付安全事件仍不断增加,且涉案金额逐年攀升。究其原因,有以下二类,一是支付产品设计之初,未考虑支付产品安全与科技发展的协同,科技的发展造成支付产品出现安全滞后性漏洞,支付产品在科技高速发展中出现死穴。例如早期第三方支付机构研发的利用银行账户预留手机号码及其通讯功能,作为确定用户支付意愿的工具与手段,便于用户在无需开通网上银行功能的情况下,即可在互联网上完成无卡支付。这种产品设计中,忽视了通讯运营商的通讯账户使用规则,在用户在通讯运营商申请的通讯账户,受通讯运营商管理,因人工或自助服务等渠道的漏洞与缺失,导致用户失去通讯账户控制权,所以基于向通讯账户发生动态验证码的短信,以此作为汇划银行账户资金到支付账户时,该通讯账户已非用户支配。这种将通信账户与银行账户绑定的方式,是跨行业的自行组装应用,借助了通讯运营商的部分服务功能,实现了一种新的支付服务产品,但通讯运营商并不就此承担责任与义务,支付产品设计又未考虑通讯运营商通讯账户变更、补发规则造成的潜在风险,这时出现的支付安全问题,就使得用户处于极不安全状态,合法权益无法得到有效保障。

目前,此类事件仍屡有发生,大家都熟知其中原因,却无法根绝这一历史遗留问题。二是互联网的高速发展使得金融犯罪成为了一个高收益、低风险的新型犯罪,吸引了大量的人才与资源参与其中,互联网培养了大量的黑客,黑客们擅长制造各种工具攻击、窃取、拦截各种在互联网上传输的数据与信息,犯罪分子利用这些工具,在部分安全防护较弱的网站窃取数据,对这些数据与信息进行筛选、加工,通过“拖库、洗库、撞库”比对检索出用户资金账户的密码,以此窃取用户银行账户或支付账户中的资金。金融犯罪的高收益,可以支撑金融犯罪组织的专业化分工,盘踞在顶层的主犯,将金融犯罪流程专业化细分到多个人与岗位中去,这些人只能知晓某一环节中的信息,所以即便抓获了部分犯罪分子,仍难将这一组织摧毁。

另外,金融犯罪也催生了其产业链配套服务,这些配套服务提供者,自身并不参与金融犯罪,但他们透过出售金融犯罪所必须的服务,以此牟利。如提供木马和数据清洗工具等,间接帮助金融犯罪分子实施犯罪,而这些服务提供本身,却不涉及犯罪。这种产业链配套服务,在产业环境上支撑了金融犯罪的发展,而金融犯罪的发展反过来又刺激了配套服务的丰富。

综上所述,我们发现支付安全并非是个孤立的问题,其背后是时代的发展与支付安全理论的缺乏,迄今为止,始终没有一个符合互联网时代的支付产品设计安全原则,指导社会与企业遵循何种原则,为用户提供更加安全的支付服务。

通过了解无数支付安全案例,我们会发现,风险都是在三种不对称环境下产生的,即“支付不对称、交易不对称、利益不对称”,“支付不对称”是指无法确定是用户自身意愿发起的支付指令,盗刷就是“支付不对称”的典型例子。“交易不对称”是指用户无法知晓真实交易内容、对手、风险、资金流向等交易相关信息,电信诈骗就是“交易不对称”的典型例子。“利益不对称”是指用户和交易对手间处于“零和博弈”关系,而非供需关系这样的“双赢”关系,对赌类的邮币卡、文交所投资交易就是典型的例子。

“支付不对称”相对容易做到些,只要加强用户鉴权强度,就可以实现接近绝对的“支付对称”,但由于支付便捷体验的原因,银行和第三方支付机构都不得不在安全与便捷二个维度衡量取舍。另外,“支付不对称”造成的危害可以通过账户权限分级管理控制在一定范围,这样一来,就可以通过“赔付”的方式弥补用户因“支付对称”不足造成的损失,因为“支付不对称”是小概率事件,只要这个小概率损失在商业利润之内,就能用“赔付”这种事后处置成本换取大多数用户支付便捷的需求。一直以来银行业在“支付对称”方面做得比第三方支付行业要好,但是一旦某些银行在支付产品设计时,越过了安全与便捷的临界点,这些银行也会面临“支付不对称”带来的支付安全问题。

如果说“支付对称”对于银行和第三方支付行业是平等的,那么“交易不对称”造成的支付安全问题,在第三方支付行业则更突出,银行业的支付结算产品,绝大多数不服务于交易。而第三方支付行业主要为商户提供各种收单服务,这种情况下,就存在对交易的识别。我这里举个例子,说明银行业和第三方支付行业在“交易不对称”时各自的责任。2015年时,某嫁给韩国人的知名女星,其所在剧组工作人员全部收到诈骗短信,该女星就前某银行完成了向诈骗者的转账,这个事件中,转账是该女星自己的意愿体现,是在“支付对称”的情况下完成的支付,但由于银行没有提供交易服务,并不对这次交易负责任,所以,即便该女星受骗,银行也不用承担责任。但第三方支付机构是为商户提供收单服务,这种收单服务已经确定了交易对手、交易范围等交易相关规则与信息,如果用户因为“交易不对称”受到损失,则第三方支付机构就无法规避责任了。通过以上案例,我们发现当“交易不对称”时,即便“支付对称”了,用户仍面临支付风险。所以,在面临“交易不对称”时,第三方支付行业比银行业承担的责任更大。相对“支付对称”强调技术手段与权衡便捷与安全的取舍,要做到“交易对称”更多是规则的问题,可以通过商户真实性管理、交易监控、结算周期、限额等业务管理手段,控制“交易不对称”所产生的支付风险。相对于“支付不对称”,“交易不对称”对第三方机构造成的损失更大,因为“支付不对称”多是个别用户损失,而“交易不对称”则某个商户的所有用户受损失,而这些受损失用户支付又是对称的,会导致第三方支付机构与用户在辨别责任时产生分歧,给第三方支付机构带来附加的声誉风险。

如果相对控制了“支付不对称”和“交易不对称”,是否支付安全就可以相对有保障了呢?我们会发现有种情况,即便是支付和交易都对称的情况下,仍存在风险,这就是“利益不对称”,如果交易管理企业的商业模式是“零和博弈”,即企业生存依靠用户的亏损获取收益,就是“利益不对称”,即便是用户的支付意愿,用户也知晓交易内容、规则、风险,心存侥幸想在对赌中获利,但实际上却处于必输的设计中。“利益不对称”需要审视交易管理企业的商业模式是否符合平等原则,“利益不对称”其实较好识别,对赌、传销等都属于“利益不对称”。

第三方支付机构提供的支付服务,因为收单服务的特点,非常容易受到交易和利益不对称风险的传导,如不加已控制,会造成被犯罪分子所利用,成为“为偷驴者拔栓”的受害者。

要绝对实现“支付、交易、利益对称”是不可能的,第三方支付机构也只能识别和计算以上风险的边界,使用各种手段、工具,尽可能的减少“支付、交易、利益不对称”带来的风险。


相关文章

月点击排行
关于本站    联系我们    手机版
Copyright © 2011-2017 移动支付网 粤ICP备11061396号-5