按：作者系資深安全業(yè)內(nèi)人士，雷鋒網(wǎng)編輯協(xié)同原創(chuàng)。本文是儲蓄卡被盜刷47萬事件背后的原因解讀。

（via：inarkansas.com）

| 事件回顧

今天上午，雷鋒網(wǎng)專欄發(fā)了篇霍炬文章《我有個朋友，儲蓄卡被盜刷了47萬元》（點擊可讀），講述了霍炬朋友馬月的儲蓄卡被盜刷47萬的事情，這里簡單列出幾個要點，詳細(xì)內(nèi)容可以看霍炬文章，這里不做贅述。

（前兩筆為盜刷的47萬元，圖片來自馬月朋友圈）

事件要點如下：

1、馬月從三亞回北京后收到兩條POS機刷卡短信，是江西上饒，共47萬；

2、儲蓄卡還在馬月手里，卡應(yīng)該是被復(fù)制了；

3、馬月立即打電話給銀行被告知下班了不能處理，得等周一（沒能及時凍結(jié)這筆交易）；

4、POS機刷走這么大筆錢，難道沒有限額嗎？

補充：POS機刷卡不是實時結(jié)算，刷卡發(fā)生的時候，錢并沒轉(zhuǎn)到盜竊方的帳號，如果可以及時凍結(jié)這筆交易，本可避免損失。

| 事件分析

說實話一開始看到這個事件的時候，我是完全沒有頭緒的。為什么呢？因為可能性實在太多了，和大家想象里銀行都應(yīng)該是荷槍實彈戒備森嚴(yán)的情況不同，整個銀行卡的支付環(huán)節(jié)，其實存在的問題太多了。我們先來看一下整個事件的涉及環(huán)節(jié)。

首先看盜卡過程，盜卡過程并不是很清楚，最可能的情況是之前在入住酒店的時候銀行信息泄露了，整個過程中的環(huán)節(jié)包括：

儲蓄卡->酒店前臺人員->酒店P(guān)OS機->收單行->發(fā)卡行

收單行是指向酒店提供POS機的銀行或者機構(gòu)（比如銀聯(lián)），目前我們不清楚這個過程中的收單行是誰。

上述環(huán)節(jié)全部可能出問題：

1、酒店前臺人員可能快速記下了銀行卡號并偷窺了六位數(shù)字密碼

2、酒店P(guān)OS機存在安全漏洞或者被替換了，會自動記錄銀行卡信息和密碼

3、收單行或者通訊鏈路存在安全漏洞，卡號和密碼在傳輸過程中被盜取

4、發(fā)卡行有內(nèi)鬼，復(fù)制了用戶的銀行卡并且盜取了密碼

實際上還存在其他的可能性，因為銀行卡和密碼的丟失很可能并不是上一次消費的結(jié)果（時間太短，不夠盜刷集團(tuán)做所有準(zhǔn)備的），之前的某次不經(jīng)意的操作的可能性更大，雖然受害者一直說沒有泄露過銀行卡的密碼，但是我的理解應(yīng)該是“沒有主動泄露過”，如果在手機上操作過網(wǎng)銀、使用過ATM機、或者使用的密碼是跟自己的信息相關(guān)的，都有可能導(dǎo)致密碼被盜。

我們再來看一下盜刷的過程，同樣，盜刷也分為：

偽造的卡->商戶收銀->商戶POS機->收單行->發(fā)卡行。

所有的這些環(huán)節(jié)都要出問題，盜刷才會成功，那么這些環(huán)節(jié)是為什么而出的問題呢？我們也來試著分析一下：

1、首先，為什么有了銀行卡號就可以偽造一張一模一樣的呢？

這是因為目前我國的大部分銀行卡都采用磁條卡，卡片的信息相當(dāng)于是明文寫在磁條里的，并沒有做什么加密的措施，所以只需要有一臺制卡設(shè)備，就能夠復(fù)制。這幾年國家開始大力推廣芯片卡，芯片卡的安全級別比磁條卡高很多，也不太容易被復(fù)制，但是為了兼容過去的舊設(shè)備，所有的芯片卡都支持磁條，這就意味著除非你在支持芯片卡的POS機上使用，而且卡片沒有離手，否則芯片卡一樣可以被復(fù)制磁條。

2、其次，商戶為什么不去檢查偽造的卡？

理論上來說商戶有檢查銀行卡真?zhèn)蔚牧x務(wù)，然而實際操作中，由于商戶的人員不具備專業(yè)知識，也沒有訪問銀行數(shù)據(jù)庫的權(quán)限，同時，商戶沒有動力這樣去做（影響用戶體驗），銀行之間在收單POS機上競爭激烈，也不敢強迫商戶這么去做，所以商戶基本不會去檢查銀行卡的合法性，而是默認(rèn)你有密碼那就是合法用戶。相對來說，在歐美進(jìn)行大額消費時，商戶往往會問客戶要帶有照片的身份證明，以確保不是盜刷。

3、那收單行能不能凍結(jié)該筆交易呢？

這要看實際情況，我們假設(shè)這個商戶是完全合法的，比如是銷售珠寶或者貴重物品的商店，那么收單行因為銀行卡是偽造的就凍結(jié)或者取消該筆支付也是理由不充分的，由于商戶是否有義務(wù)和能力去檢查銀行卡的真?zhèn)芜@個問題的不確定性，使得讓商戶承擔(dān)盜刷的損失這件事情沒有那么理直氣壯。

當(dāng)然實際上很多做類似事情的商戶就是非法的或者灰色的，甚至存在幫助用戶進(jìn)行信用卡取現(xiàn)的商戶，但是要證明這些商戶違法，也是非常巨大的工作量，而重新申請一臺POS機，則容易得多，而且收單行沒有動力去幫助發(fā)卡行做這個操作（損害自己的客戶去保護(hù)其他競爭對手的客戶），就像前面說的，POS機競爭太大，銀行不會去做這樣的事情。

4、那么收單行/發(fā)卡行為什么不限制刷卡的上限？

首先，儲蓄卡不是信用卡，發(fā)卡行是不能設(shè)限的（理論上你有多少錢就可以刷多少錢，不然用戶也不干），除非用戶自己在賬戶里設(shè)置了相應(yīng)的限額，而收單行，則是根據(jù)商戶的信用（實際上是根據(jù)很容易假造的交易流水）來確定商戶POS機的限額。

比如一個賣豪華手表的商戶，收單行要是設(shè)限額單筆3萬，商戶也沒法玩，因此，如果盜卡者去一個信用較高的商戶進(jìn)行刷卡操作，確實很容易把幾十萬現(xiàn)金刷走，換句話說，就算有POS機限額，其實也不過是讓盜刷者稍微麻煩了一點，因為多刷幾個POS機一樣可以把所有錢盜空。

5、發(fā)卡行為什么沒有及時阻止？

根據(jù)我對銀行流程的了解，當(dāng)用戶舉報銀行卡被大額盜刷后，銀行方面的相關(guān)人員會立即行動，進(jìn)行止損，包括且不僅限于：凍結(jié)銀行卡且把該卡號列入黑名單，提取相關(guān)證據(jù)，通知相關(guān)的其他單位進(jìn)行資金追查等等。

本次事件中，為什么銀行服務(wù)中心的人員會說：“下班了，沒辦法處理？”

個人認(rèn)為這是由于呼叫中心的管理或者培訓(xùn)不到位導(dǎo)致的。銀行的呼叫中心人員流動性大，管理困難，承擔(dān)的業(yè)務(wù)范圍廣，需要靠內(nèi)部的FAQ文檔和培訓(xùn)來保障服務(wù)質(zhì)量，比較容易出現(xiàn)呼叫中心人員不熟悉業(yè)務(wù)或者理解錯誤的情況，筆者就遇到過好幾次呼叫中心人員還不如筆者自己熟悉業(yè)務(wù)的情況。雖然反過來說，按照之前的分析，發(fā)卡行不一定能及時阻止該筆消費或者追回款項，但是給受害者一個“下班了不能處理”的答復(fù)肯定是錯誤的，盜刷控制的相關(guān)工作人員肯定是24小時工作的。

| 一些“現(xiàn)實”點的建議：你有三次機會減小損失？

這么多銀行卡被盜刷，到底哪家是相對安全的呢？判斷“安全”的關(guān)鍵點有哪些呢？

其實這里就要看各家銀行對安全的投入了，比如你看哪個銀行有src（安全應(yīng)急響應(yīng)中心），就能說明這個銀行對安全的重視程度。一般大的銀行都有，這里也分業(yè)務(wù)安全和整體安全（這里水太深，不展開），一般越大的銀行實力越強，安全性也越高，比如五大銀行（工中建農(nóng)郵）和十二家股份。

不過這里面常常會有誤區(qū)：你覺得工行口碑差服務(wù)不好，所以安全性不高，招行常被曝盜刷不賠付就是不安全。但是，這里還是要強調(diào)下：曝光了不一定就差，不曝光不一定就好（嗯，正確的廢話），因為比如你被盜了我就賠，那么就不會曝光，前面是安全問題，后面則是公關(guān)的應(yīng)急態(tài)度。

（編者注：銀行的水很深不方便展開，盡管看起來是廢話但還是要說，這里想給大家傳達(dá)的信號是：你認(rèn)為不安全的并非就真的是“不安全”，有時候我們從基本認(rèn)知上就不對，比如小編和大部分人一樣覺得工行是最不安全的，但是誰知道呢，宇宙行在知曉內(nèi)部流程的安全人士看來或許就是比較安全的呢！作為普通人，其實是沒有辦法從業(yè)務(wù)流程和銀行的制度上去判斷安全性，我們只能提高警惕，看好下面的三次機會，減小損失。）

網(wǎng)上已經(jīng)有一些分析關(guān)于“銀行有三次機會阻止這次盜刷”，作為個人用戶，其實我們是無力改變銀行的行為的，那么我還是來談?wù)?strong>“個人有三次機會減小自己的損失”，可能對于各位讀者會更加現(xiàn)實一些：

一、銀行的業(yè)務(wù)和系統(tǒng)中，按照以下的順序安全性依次提高：

網(wǎng)絡(luò)第三方支付（例如微信支付）< 網(wǎng)銀 < ATM < 柜面的活期業(yè)務(wù) < 柜面的定期業(yè)務(wù)。

作為個人用戶，應(yīng)該有多個賬號，并按照安全級別不同決定存放在里面的金額數(shù)量。例如，我一般在開通了第三方支付的銀行卡里只存放低于￥1000.00人民幣的現(xiàn)金，然后在開通了網(wǎng)銀的賬號里存放低于￥10000.00人民幣的現(xiàn)金，依次類推，大額現(xiàn)金以定期存款的方式放在未開通任何非柜面交易的銀行賬號里。而出門在外的時候，盡可能使用信用卡（因為信用卡的風(fēng)險控制體系相對儲蓄卡更加成熟），出國旅游去高危地區(qū)的時候臨時申請一張低限額的信用卡，回國后更換掉。平時使用銀行卡時注意：卡不要離身（不要為了少跑幾步讓服務(wù)員幫你刷卡），有可能的話把卡上的三位CVV碼貼住，使用POS機或者ATM的時候注意機器表面是否有異常并注意遮擋密碼輸入。

二、發(fā)現(xiàn)異常時及時與銀行溝通，遇到溝通問題的時候可以要求和對方的領(lǐng)導(dǎo)直接溝通。

這樣可以避免基層員工誤解規(guī)則或者權(quán)限不足導(dǎo)致的處理不當(dāng)，自己注意保存相關(guān)的信息作為后續(xù)交涉的證據(jù)（錄音、交易記錄、自己的旅行記錄等等）

三、選擇銀行的時候不要貪圖禮物或者利息優(yōu)惠，而是要選擇口碑好，愿意承擔(dān)責(zé)任的銀行。

這樣萬一發(fā)生損失，后期可以跟銀行有理有利有節(jié)地溝通責(zé)任承擔(dān)，口碑好愛惜羽毛的銀行往往更容易選擇承擔(dān)這個損失而不是讓受害者背鍋。要知道，未來小的地方商行破產(chǎn)也是可以預(yù)期的事情，到時候可不是幾十萬的風(fēng)險了。

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。