8
| 本文作者： 知情人士 | 2016-04-01 09:09 |
按：作者系資深安全業(yè)內(nèi)人士，雷鋒網(wǎng)編輯協(xié)同原創(chuàng)。本文是儲蓄卡被盜刷47萬事件背后的原因解讀。
（via：inarkansas.com）
今天上午，雷鋒網(wǎng)專欄發(fā)了篇霍炬文章《我有個朋友，儲蓄卡被盜刷了47萬元》（點(diǎn)擊可讀），講述了霍炬朋友馬月的儲蓄卡被盜刷47萬的事情，這里簡單列出幾個要點(diǎn)，詳細(xì)內(nèi)容可以看霍炬文章，這里不做贅述。
（前兩筆為盜刷的47萬元，圖片來自馬月朋友圈）
事件要點(diǎn)如下：
1、馬月從三亞回北京后收到兩條POS機(jī)刷卡短信，是江西上饒，共47萬；
2、儲蓄卡還在馬月手里，卡應(yīng)該是被復(fù)制了；
3、馬月立即打電話給銀行被告知下班了不能處理，得等周一（沒能及時(shí)凍結(jié)這筆交易）；
4、POS機(jī)刷走這么大筆錢，難道沒有限額嗎？
補(bǔ)充：POS機(jī)刷卡不是實(shí)時(shí)結(jié)算，刷卡發(fā)生的時(shí)候，錢并沒轉(zhuǎn)到盜竊方的帳號，如果可以及時(shí)凍結(jié)這筆交易，本可避免損失。
| 事件分析
說實(shí)話一開始看到這個事件的時(shí)候，我是完全沒有頭緒的。為什么呢？因?yàn)榭赡苄詫?shí)在太多了，和大家想象里銀行都應(yīng)該是荷槍實(shí)彈戒備森嚴(yán)的情況不同，整個銀行卡的支付環(huán)節(jié)，其實(shí)存在的問題太多了。我們先來看一下整個事件的涉及環(huán)節(jié)。
首先看盜卡過程，盜卡過程并不是很清楚，最可能的情況是之前在入住酒店的時(shí)候銀行信息泄露了，整個過程中的環(huán)節(jié)包括：
儲蓄卡->酒店前臺人員->酒店P(guān)OS機(jī)->收單行->發(fā)卡行
收單行是指向酒店提供POS機(jī)的銀行或者機(jī)構(gòu)（比如銀聯(lián)），目前我們不清楚這個過程中的收單行是誰。
上述環(huán)節(jié)全部可能出問題：
1、酒店前臺人員可能快速記下了銀行卡號并偷窺了六位數(shù)字密碼
2、酒店P(guān)OS機(jī)存在安全漏洞或者被替換了，會自動記錄銀行卡信息和密碼
3、收單行或者通訊鏈路存在安全漏洞，卡號和密碼在傳輸過程中被盜取
4、發(fā)卡行有內(nèi)鬼，復(fù)制了用戶的銀行卡并且盜取了密碼
實(shí)際上還存在其他的可能性，因?yàn)殂y行卡和密碼的丟失很可能并不是上一次消費(fèi)的結(jié)果（時(shí)間太短，不夠盜刷集團(tuán)做所有準(zhǔn)備的），之前的某次不經(jīng)意的操作的可能性更大，雖然受害者一直說沒有泄露過銀行卡的密碼，但是我的理解應(yīng)該是“沒有主動泄露過”，如果在手機(jī)上操作過網(wǎng)銀、使用過ATM機(jī)、或者使用的密碼是跟自己的信息相關(guān)的，都有可能導(dǎo)致密碼被盜。
我們再來看一下盜刷的過程，同樣，盜刷也分為：
偽造的卡->商戶收銀->商戶POS機(jī)->收單行->發(fā)卡行。
所有的這些環(huán)節(jié)都要出問題，盜刷才會成功，那么這些環(huán)節(jié)是為什么而出的問題呢？我們也來試著分析一下：
1、首先，為什么有了銀行卡號就可以偽造一張一模一樣的呢？
這是因?yàn)槟壳拔覈拇蟛糠帚y行卡都采用磁條卡，卡片的信息相當(dāng)于是明文寫在磁條里的，并沒有做什么加密的措施，所以只需要有一臺制卡設(shè)備，就能夠復(fù)制。這幾年國家開始大力推廣芯片卡，芯片卡的安全級別比磁條卡高很多，也不太容易被復(fù)制，但是為了兼容過去的舊設(shè)備，所有的芯片卡都支持磁條，這就意味著除非你在支持芯片卡的POS機(jī)上使用，而且卡片沒有離手，否則芯片卡一樣可以被復(fù)制磁條。
2、其次，商戶為什么不去檢查偽造的卡？
理論上來說商戶有檢查銀行卡真?zhèn)蔚牧x務(wù)，然而實(shí)際操作中，由于商戶的人員不具備專業(yè)知識，也沒有訪問銀行數(shù)據(jù)庫的權(quán)限，同時(shí)，商戶沒有動力這樣去做（影響用戶體驗(yàn)），銀行之間在收單POS機(jī)上競爭激烈，也不敢強(qiáng)迫商戶這么去做，所以商戶基本不會去檢查銀行卡的合法性，而是默認(rèn)你有密碼那就是合法用戶。相對來說，在歐美進(jìn)行大額消費(fèi)時(shí)，商戶往往會問客戶要帶有照片的身份證明，以確保不是盜刷。
3、那收單行能不能凍結(jié)該筆交易呢？
這要看實(shí)際情況，我們假設(shè)這個商戶是完全合法的，比如是銷售珠寶或者貴重物品的商店，那么收單行因?yàn)殂y行卡是偽造的就凍結(jié)或者取消該筆支付也是理由不充分的，由于商戶是否有義務(wù)和能力去檢查銀行卡的真?zhèn)芜@個問題的不確定性，使得讓商戶承擔(dān)盜刷的損失這件事情沒有那么理直氣壯。
當(dāng)然實(shí)際上很多做類似事情的商戶就是非法的或者灰色的，甚至存在幫助用戶進(jìn)行信用卡取現(xiàn)的商戶，但是要證明這些商戶違法，也是非常巨大的工作量，而重新申請一臺POS機(jī)，則容易得多，而且收單行沒有動力去幫助發(fā)卡行做這個操作（損害自己的客戶去保護(hù)其他競爭對手的客戶），就像前面說的，POS機(jī)競爭太大，銀行不會去做這樣的事情。
4、那么收單行/發(fā)卡行為什么不限制刷卡的上限？
首先，儲蓄卡不是信用卡，發(fā)卡行是不能設(shè)限的（理論上你有多少錢就可以刷多少錢，不然用戶也不干），除非用戶自己在賬戶里設(shè)置了相應(yīng)的限額，而收單行，則是根據(jù)商戶的信用（實(shí)際上是根據(jù)很容易假造的交易流水）來確定商戶POS機(jī)的限額。
比如一個賣豪華手表的商戶，收單行要是設(shè)限額單筆3萬，商戶也沒法玩，因此，如果盜卡者去一個信用較高的商戶進(jìn)行刷卡操作，確實(shí)很容易把幾十萬現(xiàn)金刷走，換句話說，就算有POS機(jī)限額，其實(shí)也不過是讓盜刷者稍微麻煩了一點(diǎn)，因?yàn)槎嗨讉€POS機(jī)一樣可以把所有錢盜空。
根據(jù)我對銀行流程的了解，當(dāng)用戶舉報(bào)銀行卡被大額盜刷后，銀行方面的相關(guān)人員會立即行動，進(jìn)行止損，包括且不僅限于：凍結(jié)銀行卡且把該卡號列入黑名單，提取相關(guān)證據(jù)，通知相關(guān)的其他單位進(jìn)行資金追查等等。
本次事件中，為什么銀行服務(wù)中心的人員會說：“下班了，沒辦法處理？”
個人認(rèn)為這是由于呼叫中心的管理或者培訓(xùn)不到位導(dǎo)致的。銀行的呼叫中心人員流動性大，管理困難，承擔(dān)的業(yè)務(wù)范圍廣，需要靠內(nèi)部的FAQ文檔和培訓(xùn)來保障服務(wù)質(zhì)量，比較容易出現(xiàn)呼叫中心人員不熟悉業(yè)務(wù)或者理解錯誤的情況，筆者就遇到過好幾次呼叫中心人員還不如筆者自己熟悉業(yè)務(wù)的情況。雖然反過來說，按照之前的分析，發(fā)卡行不一定能及時(shí)阻止該筆消費(fèi)或者追回款項(xiàng)，但是給受害者一個“下班了不能處理”的答復(fù)肯定是錯誤的，盜刷控制的相關(guān)工作人員肯定是24小時(shí)工作的。
這么多銀行卡被盜刷，到底哪家是相對安全的呢？判斷“安全”的關(guān)鍵點(diǎn)有哪些呢？
其實(shí)這里就要看各家銀行對安全的投入了，比如你看哪個銀行有src（安全應(yīng)急響應(yīng)中心），就能說明這個銀行對安全的重視程度。一般大的銀行都有，這里也分業(yè)務(wù)安全和整體安全（這里水太深，不展開），一般越大的銀行實(shí)力越強(qiáng)，安全性也越高，比如五大銀行（工中建農(nóng)郵）和十二家股份。
不過這里面常常會有誤區(qū)：你覺得工行口碑差服務(wù)不好，所以安全性不高，招行常被曝盜刷不賠付就是不安全。但是，這里還是要強(qiáng)調(diào)下：曝光了不一定就差，不曝光不一定就好（嗯，正確的廢話），因?yàn)楸热缒惚槐I了我就賠，那么就不會曝光，前面是安全問題，后面則是公關(guān)的應(yīng)急態(tài)度。
（編者注：銀行的水很深不方便展開，盡管看起來是廢話但還是要說，這里想給大家傳達(dá)的信號是：你認(rèn)為不安全的并非就真的是“不安全”，有時(shí)候我們從基本認(rèn)知上就不對，比如小編和大部分人一樣覺得工行是最不安全的，但是誰知道呢，宇宙行在知曉內(nèi)部流程的安全人士看來或許就是比較安全的呢！作為普通人，其實(shí)是沒有辦法從業(yè)務(wù)流程和銀行的制度上去判斷安全性，我們只能提高警惕，看好下面的三次機(jī)會，減小損失。）
網(wǎng)上已經(jīng)有一些分析關(guān)于“銀行有三次機(jī)會阻止這次盜刷”，作為個人用戶，其實(shí)我們是無力改變銀行的行為的，那么我還是來談?wù)?strong>“個人有三次機(jī)會減小自己的損失”，可能對于各位讀者會更加現(xiàn)實(shí)一些：
一、銀行的業(yè)務(wù)和系統(tǒng)中，按照以下的順序安全性依次提高：
網(wǎng)絡(luò)第三方支付（例如微信支付）< 網(wǎng)銀 < ATM < 柜面的活期業(yè)務(wù) < 柜面的定期業(yè)務(wù)。
作為個人用戶，應(yīng)該有多個賬號，并按照安全級別不同決定存放在里面的金額數(shù)量。例如，我一般在開通了第三方支付的銀行卡里只存放低于￥1000.00人民幣的現(xiàn)金，然后在開通了網(wǎng)銀的賬號里存放低于￥10000.00人民幣的現(xiàn)金，依次類推，大額現(xiàn)金以定期存款的方式放在未開通任何非柜面交易的銀行賬號里。而出門在外的時(shí)候，盡可能使用信用卡（因?yàn)樾庞每ǖ娘L(fēng)險(xiǎn)控制體系相對儲蓄卡更加成熟），出國旅游去高危地區(qū)的時(shí)候臨時(shí)申請一張低限額的信用卡，回國后更換掉。平時(shí)使用銀行卡時(shí)注意：卡不要離身（不要為了少跑幾步讓服務(wù)員幫你刷卡），有可能的話把卡上的三位CVV碼貼住，使用POS機(jī)或者ATM的時(shí)候注意機(jī)器表面是否有異常并注意遮擋密碼輸入。
二、發(fā)現(xiàn)異常時(shí)及時(shí)與銀行溝通，遇到溝通問題的時(shí)候可以要求和對方的領(lǐng)導(dǎo)直接溝通。
這樣可以避免基層員工誤解規(guī)則或者權(quán)限不足導(dǎo)致的處理不當(dāng)，自己注意保存相關(guān)的信息作為后續(xù)交涉的證據(jù)（錄音、交易記錄、自己的旅行記錄等等）
三、選擇銀行的時(shí)候不要貪圖禮物或者利息優(yōu)惠，而是要選擇口碑好，愿意承擔(dān)責(zé)任的銀行。
這樣萬一發(fā)生損失，后期可以跟銀行有理有利有節(jié)地溝通責(zé)任承擔(dān)，口碑好愛惜羽毛的銀行往往更容易選擇承擔(dān)這個損失而不是讓受害者背鍋。要知道，未來小的地方商行破產(chǎn)也是可以預(yù)期的事情，到時(shí)候可不是幾十萬的風(fēng)險(xiǎn)了。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
