銀行快捷支付使得儲戶存款丟失，銀行應該怎樣做才能保證快捷又安全？

12-31

近日，有多名儲戶存款丟失，犯罪分子藉助銀行快捷支付功能的便利性，單靠竊取銀行發給儲戶的動態簡訊就可以實施盜竊。銀行的快捷支付是否還存在漏洞？那銀行怎樣做才能保證快捷支付，同時又安全？
如何看待中國移動簡訊保管箱服務，特別是今天微博上爆出的事件? - 中國工商銀行

那個問題下面的答案粘貼過來吧。

這事情最大的風險在於，無論互聯網企業做再多的安全措施，快捷支付的安全基礎不牢靠是問題發生的根本。無論是病毒還是手機保管箱或者其他什麼，只要泄露了手機驗證碼就可以付款。然而對銀行來講，客戶的手機號並不是密碼的安全級別，只是一個聯繫方式，核對你的手機號碼正確也不會把現金給你；而對於電信運營商來講，他手機號根本就沒給你當作安全設備的設計，快捷支付用這個當作安全控制本質上是對其他企業的風險綁架，畢竟其他企業沒有對非本公司的產品提供安全保障的義務。如果非要說責任的話，開始的時候銀行設計並通過快捷支付這個產品本身就存在沒有預見到的風險問題，應該將這個產品關閉，然而即使由於風險問題而調整快捷支付金額上限當初都引來了軒然大波，更何況關閉呢，騎虎難下也許是比較合適的形容，畢竟銀行屬於風險厭惡型企業，不像互聯網企業那樣可以接受一定比例的風險損失。

簡訊驗證碼我是覺得沒啥希望了，各家第三方天天出案件，要是有能更安全而且快捷不變的方式他們早就用了。而且案件的另外一個高發是手機中病毒後自己開通快捷支付，這個靠簡訊驗證碼沒有任何意義，你驗證碼有規律但是這個規律都是放病毒的人設定的，風險該出還是出。

能防範風險必須保證銀行信息，手機號，手機，人這四項全部對應，短期內能想到的成本最低的就是屏幕識別指紋。看谷歌什麼時候能把屏幕指紋識別開發出來吧。

先多說一下銀行介入快捷支付的事情：

快捷支付這種便捷的支付方式，主要是興起於近幾年的互聯網公司。

回憶一下，

還在那個年代，銀行客戶如果在網上用到動資金的功能，都是要使用安全介質的

最早的時候一般是U盾，有點小貴，我的第一個U盾好幾十（心疼）

成本較低的介質，見過有掛掛卡

就是一張卡片都是格子，轉賬、支付的時候問你第幾個格子的數字是什麼

你要把格子上的遮蓋給刮開，但這種安全介質的轉帳、支付限額比較低

那會很少有吐槽銀行網銀不安全的（不是沒有，但是與現在比少得多得多）

都是吐槽銀行操作麻煩、介質那麼貴這不是騙錢嘛……

後來大家也都知道

快錢來了、支付寶來了、微信錢包來了、XXX來了……

因為沒有銀監會等監管部門的約束

互聯網公司的各種金融創新開始了

包括題目中說的快捷支付

最早互聯網公司還有點節操

弄個文件數字證書做安全介質

就是生成一個文件當「U盾」

轉賬的設備必須有這個文件才可以

後來就改為直接用手機驗證了（貌似安全，現在看呵呵了）

在用戶的一片叫好聲中

銀行被倒逼改革

同時監管部門處在改革創新導向的特定時期

也做了鬆動

於是各家銀行也陸續開通了快捷支付

任何事物都是雙刃劍，便捷的同時必然帶來不安全

所以個人感覺銀行以前犧牲便捷性，安全第一的做法是可取的

畢竟銀行與互聯網公司不一樣，賬戶里動到的直接是儲戶的積蓄

銀行迫於壓力的創新，有自身的問題和責任

但是社會、媒體、ZF等也應該反思

應該給老百姓樹立一種什麼樣的安全意識

而不是一味的褒獎互聯網企業的創新、便捷

好了，入題：

既然銀行已經開了快捷支付，那麼應該如何保證它的安全呢？

1）快捷支付的「開通」（注意是開通，不是使用），必須通過有效的安全介質，比如U盾。不要再吵吵不便捷了，這是底線。

為什麼呢？網銀的使用者要樹立一種意識，網銀是不安全的，雖然有登錄密碼。

現在黑客破解網銀密碼不複雜，主要靠「撞庫」。

撞庫的意思是：銀行很難黑吧，那我去黑一些小網站的郵箱，黑掉後就有郵箱密碼和用戶信息。然後黑客就會拿著這些信息，去各個銀行的網銀一個一個試，一旦你郵箱和網銀的別名和密碼設置的一樣，你就被「撞」上了。

黑客一個一個試是效率很高的，他們有外掛程序進行模擬登錄，一分鐘試幾千個沒問題。你說網銀登錄要輸驗證碼啊？外掛怎麼登錄？其實，驗證碼很好破解，現在數字識別的開源庫很多，分分鐘就可以寫一個圖像識別程序（各位可以看看我專欄的這個文章：[Fintech小技術]通過OCR識別抓取圖片中的報價 - 釩鈦客的文章 - 知乎專欄）

而很多人為了方便密碼和用戶名記憶，很喜歡網上任何網站都用一樣的用戶名和密碼

所以，網銀是不安全的，一定要有這種意識

所以，網銀中可能移出客戶資金的功能，都應該通過安全介質才能使用

否則，黑客登錄了你的網銀，用黑客自己的手機註冊一個快捷支付，後果很嚴重（確實遇到過這類案件）

2）給快捷支付設置限額

這個就相對被動一些了，但也是減少自己損失的一種辦法

3）後台系統的風控機制

這個屬於比較新的機制，各行已經逐漸在採用。就是分析客戶的行為，如果發現異常，採取控制措施（如終止交易、如凍結賬戶等等）。比如，後颱風控系統發現客戶在頻繁的用快捷支付的上限額度轉錢，這時如果有這個風控模型，風控系統就會終止這個客戶的交易。可能也會凍結網銀賬戶或者凍結資金帳戶。

但是，這對風控模型的要求比較高，需要不斷學習和提煉，如果控的嚴了，正常的業務也被控制了。這個還是一個新興的領域，目前作用不算太大，以後起的作用估計會越來越大。

4）防騙宣傳及科普

不用多說了，現在媒體已經逐漸開始意識到快捷支付的風險，並開始加大科普力度了。

以上。

圈內人，先匿了。

比較一下，快捷支付和其他支付的區別。

1，正常轉賬。登錄網銀or手機銀行（登錄密碼），交易過程中驗證取款密碼和驗證手段（可以是優盾or簡訊或口令令牌（如陽光令牌），不少銀行還支持多渠道複合認證）。（這裡就不用說開通網上轉賬功能各種門檻了。）

對比，快捷支付。對於銀行來說，是合作方提交，不是客戶提交（客戶是在合作方網站做提交），提交的內容非常簡單：客戶姓名+身份信息+卡號+手機號（極少銀行甚至不驗證客戶身份信息），然後簡訊驗證碼成功。就扣錢。

2，兩個流程做比較，會發現快捷支付，實際上客戶在手機完全被黑情況下，是無能力防止被盜。（姓名身份證號本身是明碼，這裡面最難的實際上是卡號，但也不難獲取。）而其他支付，本以上是雙通道。也就是一個是取款密碼通道（這個通道衍生出來登錄密碼等等其他內容）另外一個是獨立的簡訊渠道。竊賊要同時獲得兩個通道才能搞定盜款。

3，快捷支付背景和原來寄望風險保護上的幾個突破。快捷支付最早是支付寶為了提交交易成功率搞的。提高交易成功率手段包括，不跳到銀行頁面（傳統網上支付要跳到銀行頁面），不驗證取款密碼（實際上不跳到銀行頁面，銀行也幾乎不允許在其他頁面上輸入取款密碼），放低門檻（不考慮優盾網盾等高門檻安全工具，口令令牌用戶群有限也不考慮）。在支付寶的推（you）動（dao）下，快捷支付應用而生。其好處是，支付寶交易成功率一下子突破原來的瓶頸！大家也覺得支付好輕鬆。

銀行被動中，最後只守住兩個弱安全點，一個是額度，大部分銀行選擇5千額度，另外一個是要商戶包賠。但這兩個安全點實際上完全失陷。首先額度，支付寶開了5千，然後財付通也開了5千，然後快錢也開了5千，然後銀聯，然後其他……。大部分銀行實際上是對不同商戶限制5千。客戶就傻呆了。第二個是包賠。這個嘛，作為親歷過替別人打包賠索賠流程的人來說，我只能說在中國，交錢容易賠錢真的是千山萬水路。各種流程各種跑腿各種臉色，真的是欠錢的是大爺呀。

//這裡補充吐槽一下，除了少數幾個銀行支持關閉快捷支付，絕大多數銀行是被開了就開了，連在銀行端關閉的功能都沒有！另外有的銀行就是關閉了，還能被支付方提交後打開。--然後你就很無語了。

亡羊補牢：

從這個事情來看，對於當事方中國移動來說，最簡單的辦法就是所有短號比如95533這種短號發來的簡訊，全部不在保管箱轉發。公共長號也可以考慮不轉發（就是10開頭的那一堆簡訊公告號碼）。運營商自己可以在保住這個業務的同時，能最簡單把自己從這個事情脫責出來。

但對於金融行業來說，就沒有那麼簡單了。中移動的保管箱容易解決，但考慮到現在安卓手機app對簡訊讀取的許可權控制來說，安卓機上的簡訊驗證碼實際上幾乎等於明碼，這個才是整個安全體系的癥結。（別和我說安裝什麼360管家之類的，我看見這幾家就想起以毒攻毒，但後面不是治好而是毒發身亡）

然後如果考慮到便利性（這一條就把口令令牌）都弄沒了。整個解決問題的節點就我看來理想的突破口是：在單一驗證中如何巧妙的假如雙驗證。而且這個驗證絕對不能是密碼。

解決模式，把銀行發過來的簡訊明碼變成只有真正客戶才能懂的「密碼」

比如銀行發過來的簡訊，利用回車，變成如下的數字矩發給客戶。

123

778

789

只有你知道自己在銀行設置的是解鎖途徑。（比如你在銀行約定的解碼路徑，讀者只要參考自己的手勢解鎖即可，比如是「U"型。那麼客戶就是輸入1778983，

這個模型的核心邏輯是，及時你的簡訊被任何人看到了，只要他不知道你的解碼路徑，那麼就是拿到簡訊也無用！而且由於每一個位置發出數字的隨機性和可控性，基本上難以破解。

至於要提升安全要素，可以通過編程4*4，或者支持多筆畫等模式來處理，

--這個模式的難度是客戶教育成本！讓客戶理解這件事情是一個巨大成本。

個人的一點拙見：

設置支付額度與認證方式的關聯，並且對某種「不安全的」支付方式設置月或者年額度上限。超過則需要採用更加安全的認證方式。

另外央媽的賬戶分類制度雖然有點那啥，但是對保護這類事情還是有點用處。

另外強烈建議各銀行增加客戶自行關閉「簽約快捷支付功能」的功能。否則有些真的不接觸互聯網的人會白白受害。

問題1、快捷支付不安全在業內已是共識，但客戶卻不一定了解，但資金一出問題，客戶首先是找銀行。

問題2、中小銀行已上了快捷支付這艘賊船，現在騎虎難下，第三方支付公司尤其是某寶現在已是反客為主了，中小銀行還要看他們臉色的。

問題3、儘管監管已發文多次要求銀行整改與第三方支付公司的合作，但到目前為止，我所見到的都是沒有按時、按要求整改，原因就是大的支付公司根本不配合，所以監管要求也是一紙空文。

問題4、銀行可以自己做的：設置限額、開通關閉渠道、協助客戶要求第三方支付公司全額賠付。

真心感嘆監管的無力，自2014年來，人行至少3次發文要求整改快捷支付開通的身份驗證方式，到現在沒有一家落實了的。作為地方銀行，地方監管曾多次要求我們提整改情況，我們也想第三方支付公司多次轉達監管要求，但對方均以未收到其所在監管單位對第三方支付公司要求而回絕配合。

快捷支付這個功能，一般五大行都針對它有專門、單獨、較小的限額，一般情況不超過一萬，並且在第三方平台如支付寶微信這類的平台開通快捷支付時候，會有一個責任申明，閱讀協議。讀讀裡面的東西，這問題就明白了。

銀行可以幫助客戶用快捷支付渠道把資金轉移給第三方平台賬戶，在這個操作過程中，只要進入的是平台官網，正規渠道，那麼這個平台的賬戶是詐騙嫌疑人的，還是官方的公眾賬戶，這點銀行想知道都沒辦法。

畢竟如果出於客戶的失誤，或者手機被別人盜取，在簡訊驗證碼被詐騙嫌疑人獲取的情況，連帶責任牽扯出來的人太多。客戶可以怪銀行為什麼靠簡訊就可以轉走錢，也可以怪通信運營商為什麼幫助不法分子發簡訊or為什麼不能識別偽基站。

在身份證卡號手機號信息被曝光的情況下，還想單通過一個簡訊保護賬戶小額資金安全，這樣不好。

我覺得還不如怪為什麼手機會中病毒。

銀行跟第三方支付合作開通快捷支付肯定是違反央行跟銀監的有關規定，只是沒有人去舉報罷了。

首先第一點，快捷支付這個交易尤其是支付寶財付通開發的交易，是第三方支付公司提供的，你可以研究一下當時快捷支付的簽訂的協議，裡面有真正的服務供應商。所以，當年銀行和支付寶簽訂的協議當中是包含支付寶方面全款賠付，而銀行輔助查證的條款的（但是需要48小時之內進行反應）

銀行如果想限制快捷支付類交易就兩個辦法，一在出賬端設置限額，超出限額擠掉。二單方面撕毀協議，開發自己的雙渠道快速支付通道（目前有一家是這麼乾的，人家大行就是屌）除此之外再沒有什麼很好的辦法了。

當年支付寶設計的快捷支付之所以不驗證密碼，是因為存在手機驗證碼這種在當時比較安全的手段。然而時至今日，安卓系統下想竊取客戶簡訊方法簡直輕而易舉，這種方法也有點過時了，但是並不代表支付寶沒有防範手段！支付寶現在對自己的快捷支付中的異地支付和不同客戶端支付是有一個風控模型把控的。當騙子想通過快捷支付詐騙時必須使用常用電腦，且在客戶常用的時段。但是如果客戶首次開通就另當別論了，經常會有儲戶來銀行大罵，其實銀行是沒有過錯的。