近日,多位浦發(fā)銀行信用卡用戶反映,其名下萬事達(dá)“無價(jià)世界卡”在境外遭遇盜刷。記者獲悉,浦發(fā)銀行已向部分用戶提供補(bǔ)償措施,包括積分補(bǔ)償、消費(fèi)返還及費(fèi)用減免等。同時(shí),浦發(fā)銀行信用卡中心也迅速回應(yīng)稱,近期已監(jiān)測到部分客戶存在未經(jīng)本人授權(quán)的異常交易,并已啟動(dòng)風(fēng)險(xiǎn)防控機(jī)制。
然而,這一事件仍引起高度關(guān)注:在移動(dòng)支付盛行、跨境消費(fèi)日益頻繁的背景下,“隔空”盜刷是如何發(fā)生的?一旦損失產(chǎn)生,責(zé)任應(yīng)如何劃分?而在磁條卡仍在海外大量使用的現(xiàn)實(shí)下,支付安全風(fēng)險(xiǎn)該如何防范?
隔空盜刷如何發(fā)生?
與國內(nèi)“刷卡必須輸入密碼”的普遍習(xí)慣不同,海外信用卡交易中,持卡人多數(shù)場景只需提供卡號(hào)、有效期與CVV碼(Card Verification Value)即可完成支付。缺乏密碼驗(yàn)證的流程,令信用卡信息一旦泄露,極易被復(fù)制利用。
CVV碼由發(fā)卡行通過算法生成,并印制在卡背簽名欄附近。它與卡號(hào)、有效期共同構(gòu)成離線交易的核心驗(yàn)證要素,主要用于酒店預(yù)訂、電話訂票、網(wǎng)絡(luò)購物等無需實(shí)體卡的支付。
“盜刷的關(guān)鍵往往在于CVV碼?!闭憬贾菀晃恢Ц缎袠I(yè)技術(shù)專家對記者解釋稱,“卡號(hào)和有效期在很多支付環(huán)節(jié)可能被記錄,若再加上CVV碼,幾乎等同于拿到一張可交易的信用卡。”
記者了解到,CVV碼被盜取存在多種途徑。最常見的是數(shù)據(jù)泄露,黑客通過攻擊電商網(wǎng)站、支付平臺(tái)甚至銀行數(shù)據(jù)庫,批量竊取卡片信息。暗網(wǎng)交易是另一途徑,一整套包括卡號(hào)、有效期、CVV、姓名及地址的信息,售價(jià)僅數(shù)美元至十幾美元不等。
此外,釣魚詐騙也較為普遍,犯罪分子偽造銀行或支付平臺(tái)網(wǎng)站,通過短信或郵件誘導(dǎo)用戶輸入信用卡信息。物理偷盜同樣存在風(fēng)險(xiǎn),一些ATM或POS機(jī)被安裝盜錄設(shè)備,同時(shí)配合針孔攝像頭偷窺CVV碼。
業(yè)內(nèi)人士分析,此次浦發(fā)“無價(jià)世界卡”事件,部分用戶近期并未使用過卡片或訪問可疑網(wǎng)站,大概率涉及某電商或支付平臺(tái)數(shù)據(jù)泄露,被黑產(chǎn)批量盜取。
值得注意的是,犯罪團(tuán)伙通常不會(huì)立即動(dòng)用盜取的信息,而是將其綁定到具備NFC功能的手機(jī)電子錢包中,等待數(shù)月后集中進(jìn)行“爆發(fā)式”盜刷,以規(guī)避風(fēng)控系統(tǒng)監(jiān)測。“這就是典型的‘無卡支付’盜刷?!币晃汇y行風(fēng)控人士指出。
600元如何刷出2萬元額度?
除了盜刷行為本身,此次事件還引發(fā)了一個(gè)令人費(fèi)解的現(xiàn)象:部分用戶的信用卡額度僅為數(shù)百元,但盜刷金額卻高達(dá)數(shù)萬元。
“這與海外信用卡的離線交易機(jī)制密切相關(guān)。”上述支付行業(yè)人士對記者說,在該模式下,商戶無需實(shí)時(shí)與發(fā)卡行交互即可完成交易,先行放行后,再在數(shù)天或最長30天內(nèi)提交清算。這意味著,犯罪分子可以在短時(shí)間內(nèi)集中完成多筆交易,而銀行的實(shí)時(shí)額度系統(tǒng)尚未更新凍結(jié)金額,從而形成“賬面可用余額虛高”。
一位從事支付清算的技術(shù)專家向記者解釋:“離線交易模式下,商戶先消費(fèi)、后入賬,結(jié)算通??裳舆t數(shù)天。而國內(nèi)銀行多采用‘T+1’更新額度邏輯,兩者之間存在錯(cuò)配,為盜刷提供了可乘之機(jī)?!?/p>
更復(fù)雜的是,一些銀行在境外場景下會(huì)自動(dòng)上調(diào)臨時(shí)額度至原授信的3至5倍,以提升用戶體驗(yàn)。這一機(jī)制在正常情況下便利了大額消費(fèi),但在盜刷場景下卻被犯罪分子利用,相當(dāng)于提供了額外的“杠桿空間”。業(yè)內(nèi)人士分析,這也是為何原本額度不高的卡片,在短時(shí)間內(nèi)出現(xiàn)數(shù)萬元盜刷的原因之一。
責(zé)任如何劃分?
在信用卡盜刷案件中,責(zé)任歸屬長期是爭議焦點(diǎn)。根據(jù)最高法2021年出臺(tái)的司法解釋,信用卡盜刷案件中舉證責(zé)任主要在銀行。北京大成(長春)律師事務(wù)所律師葛仲彰認(rèn)為,如果銀行未能識(shí)別偽卡交易或未及時(shí)攔截異常消費(fèi),即未能盡到安全保障義務(wù),應(yīng)承擔(dān)主要賠償責(zé)任;而持卡人若存在信息泄露、延遲掛失等過錯(cuò),則需自行承擔(dān)部分損失。
記者了解到,司法實(shí)踐中,多數(shù)案件銀行需承擔(dān)七成以上責(zé)任。例如,華北某地法院近期審理的一起案件中,持卡人王某的信用卡境外被盜刷2000元。他在第一時(shí)間凍結(jié)賬戶并報(bào)警,法院最終判定銀行未盡風(fēng)控義務(wù),應(yīng)承擔(dān)全部賠償責(zé)任。
但跨境交易中的維權(quán)遠(yuǎn)不如國內(nèi)順暢。“國際卡組織通常要求持卡人在規(guī)定時(shí)間內(nèi)提交包括交易憑證、溝通記錄在內(nèi)的支持文件,否則銀行無法代表客戶申請拒付或退款?!币晃唤鹑诼蓭熖嵝眩皶r(shí)間優(yōu)先、證據(jù)為王,這是跨境維權(quán)的基本原則?!?/p>
通常來說,信用卡交易鏈條涉及發(fā)卡行、國際卡組織、收單行、商戶等多方主體。上述律師稱,法院在審理時(shí)通常認(rèn)定消費(fèi)者作為弱勢一方,銀行及相關(guān)機(jī)構(gòu)應(yīng)對外承擔(dān)賠償責(zé)任,至于各方之間的責(zé)任再通過內(nèi)部追償解決。
不過,也存在法院酌定責(zé)任的情況。若原告在卡片保管上存在明顯疏忽,法院可能判定持卡人與銀行各自承擔(dān)一定比例責(zé)任。
支付安全:磁條卡換芯片卡
從介質(zhì)層面看,磁條卡仍是盜刷高發(fā)的重要原因。業(yè)內(nèi)普遍共識(shí)是,磁條卡被盜刷的概率是芯片卡的數(shù)倍。老版萬事達(dá)卡多數(shù)僅具備磁條功能,安全性遠(yuǎn)遜于支持EMV芯片標(biāo)準(zhǔn)的卡片。
中國市場近年來已逐步完成芯片卡替換,但在海外,磁條卡仍然被大量使用。一旦持卡人持有的仍是磁條卡,境外交易的安全隱患就不可避免。
“從安全角度看,磁條卡確實(shí)是軟肋。”前述支付行業(yè)人士表示,“更換芯片卡既是資金安全的需要,也能提升支付體驗(yàn)?!?/p>
據(jù)悉,萬事達(dá)已在中國市場推出兼容EMV和銀聯(lián)PBOC3.0標(biāo)準(zhǔn)的新型芯片卡,實(shí)現(xiàn)“一芯雙應(yīng)用”,可同時(shí)支持境內(nèi)外使用。與此同時(shí),卡組織的活動(dòng)與權(quán)益也已明確限定在新發(fā)芯片卡用戶范圍內(nèi),以進(jìn)一步推動(dòng)存量磁條卡的更新?lián)Q代。
前述人士稱,對于普通持卡人而言,主動(dòng)更換芯片卡不僅能降低盜刷風(fēng)險(xiǎn),還能參與更多權(quán)益活動(dòng);而對于銀行和卡組織,全面淘汰磁條卡則是提升支付體系安全性的必由之路。