一文读懂Ⅱ、Ⅲ类账户安全


来源:中金网安    作者:王胤    2019-5-15 15:18

王胤,2010年毕业于电子科技大学,专注于银行业信息科技风险管理相关工作,目前参与6项相关标准的起草、制定工作,主导了50多家国有银行、全国股份制银行、城商行的信息安全规划和评估工作,对银行业务安全、合规管理、信息科技风险管理等领域有着较深入的理解。

1.Ⅱ、Ⅲ类账户基本定义

2015年12月央行发布的《中国人民银行关于改进个人银行账户服务加强账户管理的通知》,在现有个人银行账户基础上,增加银行账户种类,将个人银行账户分为Ⅰ类银行账户、Ⅱ类银行账户和Ⅲ类银行账户。

Ⅰ类户为全功能账户,银行可通过Ⅰ类户为存款人提供存款、购买投资理财产品等金融产品、转账、消费和缴费支付、支取现金等服务。

Ⅱ类户定位为“理财+支付”功能账户,银行可通过Ⅱ类户为存款人提供存款、购买投资理财产品等金融产品、限定金额的消费和缴费支付等服务。

Ⅲ类户定位为“小额交付支付”账户,银行可通过Ⅲ类户为存款人提供限定金额的消费和缴费支付服务。

2.Ⅱ、Ⅲ类账户监管发展

3.Ⅱ、Ⅲ类账户详细要求

3.1开户

3.1.1开户方式

(一)柜面开户。通过柜面受理银行账户开户申请的,银行可为开户申请人开立Ⅰ类户、Ⅱ类户或Ⅲ类户。

(二)自助机具开户。通过远程视频柜员机和智能柜员机等自助机具受理银行账户开户申请,银行工作人员现场核验开户申请人身份信息的,银行可为其开立Ⅰ类户;银行工作人员未现场核验开户申请人身份信息的,银行可为其开立Ⅱ类户或Ⅲ类户。

(三)电子渠道开户。通过网上银行和手机银行等电子渠道受理银行账户开户申请的,银行可为开户申请人开立Ⅱ类户或Ⅲ类户。

3.1.2身份验证

个人通过采用数字证书或者电子签名1等安全可靠的验证方式登录电子银行渠道开立Ⅱ、Ⅲ类户时,如绑定本人银行Ⅰ类户或者信用卡账户,且确认个人身份资料或信息未发生变化的,开立Ⅱ、Ⅲ类户时无需个人填写身份信息、出示身份证等。

银行为已经本银行面对面核实身份且留存有效身份证复印件、影印件或者影像资料的个人开立Ⅱ、Ⅲ类户时,如个人身份证未发生变化的,可复用留存资料,不需重复留存身份证复印件、影印件或者影像等。

银行为个人开立Ⅲ类户时,当同一个人在本银行所有Ⅲ类户资金双边收付金额累计达到5万元(含)以上,应当要求个人在7日内提供有效身份证件留存有效身份证复印件、影印件或者影像,登记个人职业、住所地或者工作单位地址、证件有效期等其他身份基本信息。个人在7日内未按要求提供有效身份证件,登记身份信息的,银行应当中止该账户所有业务。

客户申请开立II、III类户并上传身份证影像时,银行应比对身份证照片与联网核查系统反馈照片的一致性,对联网核查未反馈客户照片或者反馈信息不一致的,应要求客户出示有效辅助证件,经人工审核后再办理开户。银行应识别身份证影像记载信息,并将性别、出生日期等信息与身份证号码、照片等进行核对。

银行开办Ⅱ、Ⅲ类户业务,应当遵守银行账户实名制规定和反洗钱客户身份资料保存制度要求,留存开户申请人身份证件的复印件、影印件或者影像等。有条件的银行,可以通过视频或者人脸识别5等安全有效的技术手段作为辅助核实个人身份信息的方式。

非面对面开Ⅱ、Ⅲ类账户必须保证与绑定账户是同一人;前者身份验证至少五要素,后者至少前四要素。

非面对面为个人办理Ⅱ、Ⅲ类户姓名、身份证号、手机号、绑定账户变更业务时8,应按照开户要求重新验证信息,并采取措施核实个人变更信息的真实意愿9。绑定账户为他行账户的,应当要求个人先将Ⅱ类户所有投资理财等金融产品赎回、提前支取定期存款,将Ⅱ、Ⅲ类户资金全部转回绑定账户后再予以变更。

3.1.3账户绑定

通过电子渠道开立Ⅱ类户,需要绑定同名Ⅰ类户。

个人在银行柜面开立Ⅱ、Ⅲ类户,无需绑定Ⅰ类户或者信用卡账户进行身份验证。

通过电子渠道开立Ⅲ类户的,银行应通过开户申请人从同名Ⅰ类户向Ⅲ类户转入任意金额的方式激活账户,并确认开户申请人是同名Ⅰ类户的所有人。

个人开立Ⅱ、Ⅲ类户,可以绑定本人Ⅰ类户或者信用卡账户12进行身份验证,不得绑定支付机构开立的支付账户进行身份验证。

通过电子渠道开立后未发生入金的II、III类户,处于未激活、只收不付、不收不付、已冻结、已注销等非正常状态的银行账户及信用卡附属卡,不得作为其他银行账户的绑定账户。银行不得为上述账户提供账户信息验证服务。

3.2账户使用

3.3账户数量要求

同一个人在同一家银行(以法人为单位)只能开立一个Ⅰ类户,已开立Ⅰ类户,再新开户的,应当开立Ⅱ类户或Ⅲ类户。

同一银行法人为同一个人开立Ⅱ、Ⅲ类户数量原则上分别不得超过5个。

同一家银行通过电子渠道非面对面方式为同一人只能开立一个允许非绑定账户入金的Ⅲ类户。

1.数字证书或者生成电子签名过程需要符合《中华人民共和国电子签名法》、《金融电子认证规范》(JR/T 0118-2015)。

2.此条要求在有效落实了账户实名制要求的同时,大幅提升了开户体验。避免了用户开户的繁琐操作。

3.账户开立方面,在确保实名制底线的前提下,大大提升Ⅲ类户的开户便捷性。开立Ⅲ类户时,可暂缓出示身份证件,只需要填写基本信息。达到5万的风控限额时,才要求提供身份证。文件要求尽量地在安全与便捷性之间找平衡。

4.二代身份证存在缺陷,已挂失的旧证仍可通过身份证鉴别核验,比对照片,从一定层度上,防止使用使用伪造证件或者旧证件进行业务办理。

5.首次提到人脸识别等热点技术手段,但是这里人脸识别只能作为辅助手段,不能作为身份验证的要素。

6.为提升Ⅱ、Ⅲ类账户开户的便捷性,规定银行在联网核查公民身份证信息系统运行时间以外办理Ⅱ、Ⅲ类账户开户业务的可以先为开户申请人开立Ⅱ、Ⅲ类户,该账户只收不付,在银行按规定联网核查个人身份信息后账户正常使用。或者可以通过公安部认可的其他渠道联网核查。

7.特别注意手机号的验证,不仅要通过短信验证码验证手机号的真实性,还需要要求开户申请人登记验证的手机号码与绑定账户使用的手机号码保持一致。2016年11月,人民银行小额支付系统已增加对手机号码和信用卡账户的验证功能。

8.此条实为银发〔2015〕392号补丁,在前文中,仅对Ⅱ、Ⅲ类户规定了开设条件和管理,没有相应的变更和销户流程。

9.实际操作中,在变更流程的设计中,一定要强化变更二次确认流程,防止误操作导致信息变更。

10.销户也是同样的逻辑。

11.在银发〔2015〕392号中,明确了电子渠道开立Ⅱ、Ⅲ类户需要绑定Ⅰ类户,但是未对柜面开户是否需要绑定进行明确。此条要求为392号文解释补充,未改变本质要求。

12.在银发〔2015〕392号中,绑定同名Ⅰ类户的要求中,明确信用卡除外,此次修订了此条要求,支持了信用卡验证。

13.防止账户不法分子利用单一银行系统漏洞,非法开立虚假II类账户,并以此作为鉴权源,跨行开立大量虚假III类账户,造成账户风险交叉蔓延。体现隔离风险的监管要求。

14.302号文中,规定了可用HCE等进行支付,16号文进一步规定可用于小额取现。

15.防止恶意开户,占用资源,增加风险暴露面。

16.主要是为了防止不法分子通过开立多个此类账户变相扩大Ⅲ类户的转账限额,将Ⅲ类账户用于转移电信网络诈骗资金等。

相关文章

月点击排行
关于本站    联系我们    版权声明    手机版
Copyright © 2011-2019 移动支付网    粤ICP备11061396号-5     粤公网安备 44030602000994号