“第四方支付”的漏洞在哪兒

陳振華

為商戶(hù)降低成本、為消費(fèi)者提供多元化選擇的硬幣另一面，也不能忽視

經(jīng)常在外就餐的劉新（化名）發(fā)現(xiàn)，餐廳前臺(tái)的付款二維碼發(fā)生了變化。

“以前可能只支持支付寶或微信支付，現(xiàn)在就統(tǒng)一一個(gè)二維碼，把所有支付方式都包括進(jìn)去了，方便了很多，就是不知道是否安全。”劉新告訴《瞭望東方周刊》。

他感受到的便利，是由“第四方支付”或稱(chēng)聚合支付機(jī)構(gòu)提供的。這些機(jī)構(gòu)將各種第三方支付方式集成在自身平臺(tái)之上，在線上為電商提供聚合網(wǎng)絡(luò)支付，在線下為實(shí)體商家提供聚合移動(dòng)支付。

據(jù)前瞻產(chǎn)業(yè)研究院發(fā)布的《2017-2022年中國(guó)聚合支付行業(yè)市場(chǎng)與投資戰(zhàn)略規(guī)劃分析報(bào)告》不完全統(tǒng)計(jì)，目前中國(guó)聚合支付機(jī)構(gòu)已有上百家，包括錢(qián)方好近、收銀寶、PingPong、Paymax、收錢(qián)吧、Ping++、盒子支付等機(jī)構(gòu)。

然而，在聚合支付為商戶(hù)降低技術(shù)成本、財(cái)務(wù)對(duì)賬成本，并為消費(fèi)者提供多元化支付選擇的同時(shí)，它仍存在不少漏洞和風(fēng)險(xiǎn)：欺詐、盜刷、洗錢(qián)、信息泄露等違法違規(guī)事件屢禁不止。

2017年11月13日，中國(guó)人民銀行下發(fā)了《關(guān)于進(jìn)一步加強(qiáng)無(wú)證經(jīng)營(yíng)支付業(yè)務(wù)整治工作的通知》（以下簡(jiǎn)稱(chēng)《通知》），要求堅(jiān)決切斷無(wú)證機(jī)構(gòu)的支付業(yè)務(wù)渠道，遏制支付服務(wù)市場(chǎng)亂象，整肅支付服務(wù)市場(chǎng)的違規(guī)行為。

在2017年11月16日舉辦的第六屆中國(guó)支付清算論壇上，中國(guó)人民銀行黨委委員、副行長(zhǎng)范一飛表示，支付業(yè)務(wù)屬于重要的金融業(yè)務(wù)，無(wú)論是國(guó)有經(jīng)營(yíng)主體、民營(yíng)主體還是外資機(jī)構(gòu)，不管從事哪種業(yè)務(wù)，一律實(shí)行準(zhǔn)入制，一律納入監(jiān)管。

業(yè)內(nèi)人士普遍認(rèn)為，在強(qiáng)監(jiān)管的背景下，支付行業(yè)漏洞將得以補(bǔ)上，而包括“第四方支付”在內(nèi)的支付市場(chǎng)，也將面臨一場(chǎng)大洗牌。

盜刷容易查處難

劉新之所以對(duì)聚合支付心存擔(dān)憂(yōu)，是因?yàn)樗龅竭^(guò)支付盜刷的事情。

“我網(wǎng)購(gòu)了一件衣服，還沒(méi)發(fā)貨，店家說(shuō)后臺(tái)出現(xiàn)了問(wèn)題，要我提供收錢(qián)二維碼給他，他把錢(qián)退給我?！眲⑿赂嬖V本刊記者，退款是收到了，但是隨后這個(gè)第三方支付里的幾百元錢(qián)，卻一并被盜刷了。

像這種盜刷，并非偶然事件。

2017年8月，浙江紹興警方查獲一起“第四方支付機(jī)構(gòu)”涉嫌詐騙的案件。

辦案民警黃警官告訴《瞭望東方周刊》，詐騙方開(kāi)設(shè)網(wǎng)店，利用網(wǎng)購(gòu)?fù)丝瞰@得消費(fèi)者收款二維碼，并通過(guò)一家名為普爾云的聚合支付公司獲得掃碼槍等設(shè)備，直接用掃碼槍提取消費(fèi)者賬戶(hù)里的余額。

“有些收錢(qián)碼和付款碼是集成在同一個(gè)二維碼里的，這就給不法分子留下了可乘之機(jī)?！秉S警官說(shuō)。

據(jù)他介紹，由于不同第三方支付機(jī)構(gòu)有每筆額度199元、499元等限制，聚合支付公司在后臺(tái)是可以看到客戶(hù)每次刷最高額度的異常資金流動(dòng)情況的。

“但普爾云只是象征性地凍結(jié)詐騙方的賬戶(hù)，并且坐地起價(jià)要求詐騙方支付20%的手續(xù)費(fèi)，這相當(dāng)于‘黑吃黑?！秉S警官說(shuō)。

此外，他還向本刊記者透露，一些“第四方支付機(jī)構(gòu)”也會(huì)提供非法線上支付服務(wù)，比如給黃色網(wǎng)站提供支付服務(wù)收取8%的手續(xù)費(fèi)，對(duì)賭博網(wǎng)站則是10%。

“像這樣的‘第四方支付機(jī)構(gòu)很難查處。一方面，受害者與機(jī)構(gòu)可能不在同一個(gè)地方，那么警方存在管轄權(quán)的困難；另一方面，因?yàn)樗麄冇写罅空I(yè)務(wù)的掩蓋，不好從頭查起?！秉S警官說(shuō)，最后的取證也頗為湊巧，是通過(guò)普爾云員工與詐騙方未刪除的聊天記錄完成的。

國(guó)家信息中心網(wǎng)安研究院副院長(zhǎng)葉紅告訴《瞭望東方周刊》，鉆互聯(lián)網(wǎng)金融監(jiān)管空子的事件頻現(xiàn)，也與相關(guān)法律和規(guī)范不完善有關(guān)。

“在進(jìn)行互聯(lián)網(wǎng)金融違法犯罪行為調(diào)查時(shí)，因電子證據(jù)有效性和合法性尚有缺陷，造成了對(duì)違法犯罪事實(shí)認(rèn)定的困難。我們要加強(qiáng)電子證據(jù)方面的研究，并在立法上推動(dòng)電子證據(jù)的進(jìn)一步完善。”她說(shuō)。

“黑錢(qián)洗白”的秘密通道

當(dāng)詐騙構(gòu)成規(guī)模的時(shí)候，不法分子考慮的重點(diǎn)則是將黑錢(qián)洗白。在這個(gè)過(guò)程中，也出現(xiàn)了“第四方支付”的身影，不過(guò)他們憑借的介質(zhì)不再是二維碼，而是點(diǎn)卡、充值卡的密碼。

需要了解的是，消費(fèi)者通過(guò)微信支付、支付寶等第三方支付平臺(tái)在線充話(huà)費(fèi)，實(shí)際上是從消費(fèi)者到第三方支付機(jī)構(gòu)到聚合支付再到三大運(yùn)營(yíng)商。聚合支付在這一鏈條中，一面聚合第三方支付平臺(tái)，一面聚合三大運(yùn)營(yíng)商，通過(guò)運(yùn)營(yíng)商提供的在線直沖程序接口實(shí)現(xiàn)充值。

2017年7月，江蘇省宿遷市公安部門(mén)破獲一起以手機(jī)充值卡的數(shù)字卡密為媒介的詐騙案件，發(fā)現(xiàn)手機(jī)充值卡所涉及的上游銷(xiāo)售商、下游寄售商、耗卡商均有涉案嫌疑。

本刊記者了解到，2017年1月，江蘇宿遷居民李剛（化名）做了份網(wǎng)絡(luò)兼職，在“任信數(shù)卡商城”以110元價(jià)格購(gòu)買(mǎi)一張100元面值的手機(jī)充值卡數(shù)字卡密，將卡密發(fā)給“商家”，獲得返現(xiàn)115元。

李剛試了一把，立馬收到了115元，頓時(shí)覺(jué)得“商家”可信，便以同樣的價(jià)格購(gòu)買(mǎi)了4840元手機(jī)充值卡數(shù)字卡密發(fā)給“商家”。而這次卻沒(méi)有收到返現(xiàn)，李剛發(fā)現(xiàn)被騙，于是報(bào)警。

這些詐騙而來(lái)的手機(jī)充值卡卡密急于變現(xiàn)，福建廈門(mén)人王軍（化名）從中發(fā)現(xiàn)了“商機(jī)”，以96元、97元、97.5元的低價(jià)專(zhuān)門(mén)回收詐騙所得的100元面值的電信、聯(lián)通、移動(dòng)手機(jī)充值卡，然后再加價(jià)出售給聚合支付機(jī)構(gòu)江蘇歐飛網(wǎng)絡(luò)公司（以下簡(jiǎn)稱(chēng)歐飛公司），由其消耗卡密。當(dāng)然，這些卡密的售價(jià)還是低于正常渠道購(gòu)買(mǎi)卡密的價(jià)格。

公安部門(mén)調(diào)查發(fā)現(xiàn)，月末、月初充值高峰期間，三大運(yùn)營(yíng)商服務(wù)器響應(yīng)速度較慢，為確保充值質(zhì)量，歐飛公司的系統(tǒng)會(huì)調(diào)用卡庫(kù)里的密碼為客戶(hù)充值。這就給“黑錢(qián)洗白”提供了可乘之機(jī)。

公安部門(mén)了解到，歐飛公司從王軍手中回收的卡密，不但不入卡庫(kù)，且從回收到消耗至多2分鐘，與平常10日左右的在庫(kù)時(shí)長(zhǎng)不匹配。公安部門(mén)進(jìn)而調(diào)查發(fā)現(xiàn)，王軍賣(mài)給歐飛公司的卡密金額總計(jì)9700余萬(wàn)元。

阿里巴巴集團(tuán)安全部總監(jiān)虞煜軍向《瞭望東方周刊》透露，卡號(hào)和密碼交易詐騙，占“第四方支付”整體犯罪的80%以上。

2017年8月，“浙江麗水615專(zhuān)案”收網(wǎng)，搗毀涉及全國(guó)12個(gè)省份的電信網(wǎng)絡(luò)詐騙窩點(diǎn)40處，抓獲涉案人員540人，刑拘犯罪嫌疑人414人，查封凍結(jié)涉案資金資產(chǎn)3035萬(wàn)余元，現(xiàn)場(chǎng)查扣現(xiàn)金567萬(wàn)元。經(jīng)初步查明，全國(guó)近萬(wàn)人受害，涉案總額達(dá)1.6億元。

個(gè)人信息販賣(mài)成黑產(chǎn)

劉新對(duì)聚合支付的另一個(gè)擔(dān)心在于，通過(guò)“第四方支付”，個(gè)人隱私是否會(huì)被泄露？

目前，業(yè)界對(duì)市場(chǎng)上的聚合支付大致分為四大類(lèi)：只做技術(shù)整合的技術(shù)集成類(lèi)平臺(tái)；涉及信息“二清”的機(jī)構(gòu)轉(zhuǎn)接類(lèi)平臺(tái)；有相關(guān)牌照的、做信息和資金清算的機(jī)構(gòu)直清類(lèi)平臺(tái)；以及主要做資金“二清”類(lèi)的平臺(tái)。

事實(shí)上，2017年1月，央行下發(fā)《關(guān)于開(kāi)展違規(guī)“聚合支付”服務(wù)清理整治工作的通知》，將聚合支付嚴(yán)格定位于“收單外包機(jī)構(gòu)”，明確規(guī)定聚合支付不得采集、留存特約商戶(hù)和消費(fèi)者的敏感信息。

遺憾的是，仍存在一些聚合支付的灰色地帶。有業(yè)內(nèi)人士向本刊記者透露，在聚合支付平臺(tái)上發(fā)生交易，要想獲取消費(fèi)者信息并不困難，甚至有不法機(jī)構(gòu)販賣(mài)獲得的消費(fèi)者信息。

阿里巴巴集團(tuán)安全部總監(jiān)連斌也觀察到，隨著互聯(lián)網(wǎng)金融的迅速發(fā)展，不少線上互聯(lián)網(wǎng)金融公司采取注冊(cè)返現(xiàn)的形式吸引用戶(hù)，讓倒賣(mài)身份信息有利可圖。

“一些不法分子抓住實(shí)名認(rèn)證技術(shù)和制度上的漏洞，倒賣(mài)實(shí)名身份信息、利用實(shí)名認(rèn)證進(jìn)行欺詐等違法違規(guī)行為和事件頻出?！边B斌告訴《瞭望東方周刊》。

據(jù)他介紹，以前的安全防護(hù)主要是針對(duì)賬號(hào)的管理，比如淘寶賬戶(hù)、支付寶賬號(hào)、銀行賬號(hào)等，但賬號(hào)跟本人的對(duì)應(yīng)有時(shí)會(huì)出問(wèn)題，就有了讓人鉆的“空子”，即便不是本人也能利用身份信息注冊(cè)獲利。

阿里巴巴集團(tuán)身份認(rèn)證部門(mén)相關(guān)負(fù)責(zé)人林晶晶告訴《瞭望東方周刊》，一般的實(shí)名認(rèn)證采取本人持身份證照像上傳的模式，這甚至衍生了專(zhuān)門(mén)收取持證照的黑色產(chǎn)業(yè)鏈。

“這條黑色產(chǎn)業(yè)鏈已經(jīng)逐漸深入到農(nóng)村地區(qū)。相關(guān)人員打著贈(zèng)送保健品或者提供免費(fèi)咨詢(xún)的旗號(hào)，要求農(nóng)村老人拿著自己身份證照相做記錄，轉(zhuǎn)身拿到網(wǎng)上賣(mài)錢(qián)，量極大，并且價(jià)格已從幾十元一份賣(mài)到幾百元一份?！?林晶晶說(shuō)。

虞煜軍還向本刊記者透露，不少詐騙分子還會(huì)鎖定學(xué)生群體，以兼職的形式騙取他們做認(rèn)證，成本極低。

本刊記者了解到，互聯(lián)網(wǎng)公司有幾種進(jìn)行身份管理的技術(shù)和措施，皆已成熟：一是通過(guò)大數(shù)據(jù)和云計(jì)算，進(jìn)行身份風(fēng)險(xiǎn)的管控；二是利用人臉、虹膜、聲紋、活體認(rèn)證等生物識(shí)別技術(shù)，實(shí)現(xiàn)精準(zhǔn)度更高的認(rèn)證；三是進(jìn)行生命周期的動(dòng)態(tài)管理，以剔除“僵尸”身份認(rèn)證。

“只有從實(shí)名認(rèn)證轉(zhuǎn)向?qū)嵢苏J(rèn)證，才能堵住漏洞，徹底解決隱私泄露、信息販賣(mài)的難題?！卑⒗锇桶图瘓F(tuán)副總裁余偉民對(duì)《瞭望東方周刊》說(shuō)。