手机免密支付再爆30万盗刷大案，手机验证码成突破口

wjq135

近年来，移动支付可以说是中国最引人关注的明星产品之一了，因其便捷性和体验感的优越，短短几年内就打遍了大江南北，成为人们的生活和工作中不可或缺的重要工具，也使得传统银行卡收单行业也因此受到了极大的打击，面对这咄咄逼人的压力，传统银行卡机构也开始越来越重视自家产品的体验感和快捷性，在这个大环境的前提下纷纷祭出了各种各样的新型支付产品， 手机免密支付就是其中之一。

所谓免密支付，顾名思义就是不需要输入密码即可支付的行为，在一定程度上优化并缩短了支付流程，当然出于安全性的考虑，在免密支付的过程中，传统收单机构依然增加了注诸如限制每次交易额度和短信验证码通知的防护手段。


一定程度上也降低了风险状况的发生，然而最近发生的一起案件却似乎在告诉我们，免密支付依然有其风险漏洞所在，并且这个漏洞不是来自其产品本身，而是外在个人信息的泄露。
我们先来看看下面的这起案件：
身份证+信用卡，犯罪过程大曝光

近日，高新区警方破获一起信用卡诈骗案。两名嫌疑人通过伪造的临时身份证来补办受害人的手机卡，然后利用银行支付的验证码来实施盗刷信用卡诈骗犯罪，在短短时间内先后作案8起，涉案总金额30余万元。

7月20日，警方接到市民孙先生报警称自己的信用卡被盗刷6.4万元。经过警方一番调查，发现是有人冒用了孙先生付身份证信息补办了一张手机卡，然后通过某些在线平台进行消费，过程中所有的验证码信息全部被这张补办的手机卡所捕获，用来给犯罪贩子开路支付，而恰好孙先生又开通了小额免密支付，如此双方一拍即合。

整个犯罪过程分为四步走：

• 犯罪嫌疑人冒用身份证补办手机卡
• 在某些三方平台进行免密支付消费
• 银行将验证码发送至犯罪分子的手机上，
• 获得验证码之后犯罪分子在三方平台支付环节输入，消费过程完成。
  

因为免密支付的存在，虽然每笔消费都不能超过1000元，但是犯罪分子完全可以通过多次消费来盗取大量现金，这也让所谓免密支付的限额消费成了一个尴尬的存在。
据推测，犯罪分子在三方支付平台上消费的店家要么是虚假商户，要么就是和不法分子们坑壑一气共同作案。

之前已经出过多篇文章揭露过国内某些三方平台对入驻商户的监管极为不力，很多入驻的商户根本不具备相应资质甚至干脆就不是真实的商户，而这些虚假商户的入驻本身就有很大的疑点，说白了就是为了TX+洗钱等犯罪活动，不然有谁会傻不拉几的花钱开店不做生意？

如今日益猖獗的盗刷活动中，各三方平台的不作为，不监督，不管理甚至不赔付等等消极态度，都是致使众多盗刷案件的发生的重要原因之一。


个人信息泄露成常态，行用卡盗刷已成泄闸洪水

抛开犯罪的过程，还注意到一点，那就是犯罪分子一开始就已经弄到了受害人的身份证信息，严格意义上来讲，后面所发生的犯罪过程都只能算微末边事，虽然此类盗刷案件看似是由银行和三方平台的漏洞所导致，但我们要知道一点，如果受害人所有信息都被犯罪分子掌握了，那么盗刷案件的发生基本就无法避免。


这也是历来重点关注的问题，我国个人信息泄露早已如同三伏天的大雨——遍地开花了，在如今的社会，因为互联网和物联网的存在，能够获得个人信息的渠道实在是太多太多了，无论是互联网的各大平台还是录属于国家的企业如银行，电信运营商等等，都是不法分子们可以攻破的目标。

在这个大环境下，个人信息的保护已经成了一个笑话，可能就因为某个内鬼的贪念，一夜之间就能卖出去成千上万的个人信息，而这些以亿级数量级为单位的个人信息，早已在地下产生了一个规模庞大，组织严密，机构复杂的个人信息盗取产业链，面对这些危机，也再次提醒各相关部门，应该尽力及早的去解决。




无独有偶，除了以上这则案例，还发现另一则盗刷案件和此案颇为相似，但不同的是，在这个案件中，受害人到时没有被办手机卡，而是整个手机完全被不法分子通过技术手段给劫持了，在案发期间，受害人的手机完全接收不到任何信息，所有的支付验证码全部被犯罪分子给监控到并劫持。而这件案件更加鲜明的地方时，受害人和银行还打起了官司。

案件回顾：

2016年1月6日，受害人张先生取钱时发现自己的工资卡里的钱全都不翼而飞了，经过追查他发现，莫名地与多个第三方支付平台签约免密支付业务，并发生多笔支取操作。

5天内，4万余元存款经百度钱包、苏宁易付宝、美团网等多个第三方支付平台被转走。案发期间，银行短信系统曾向张先生的手机发送给72条提示短信，张先生的手机则向某前三位为150的号码发送了232条短信。但张先生称，案发期间他手机短信功能瘫痪，未发出也未收到过任何短信。

wjq135

结果：

向银行索赔未果，张先生以银行存在安全漏洞及技术风险为由提起诉讼。一审法院于2016年5月23日作出判决，驳回其诉讼请求。

一审法院认定，原告缺乏证据证明银行的交易系统存在安全隐患，从而导致其个人信息泄漏。同时，银行发送了动态验证码并短信通知，原告无法接收短信，是其本人疏忽导致重要信息泄露，故银行不应承担责任。

张先生的代理律师则认为，银行发送的短信内容不准确或不正确，以发送过短信免责，只能表明银行对储户权益的漠视，且行业管理方也从未承诺商业银行只要发送了短信，即可为视为已完成储户资金安全保障的全部法定义务。

与以上的案件相比，这则案例则更加具有危害性，原因是所有被盗刷的资金要让受害人来承担，银行完全不用承担责任，连官司都打不赢人又谈何追回损失呢。

当然，我们无法评判法院的判罚结果究竟是否有失公正，也不能站在足够硬气的立场指责银行推卸责任无视大众利益，只能说，我国互联网产业从出生到现在，才刚刚经历十几年的时间，诸多的不公和乱象背后，映射出的是整个社会诚信的缺失和监管的无力，或许在互联网这条路上，我们不仅仅要走的快，还更需要走的稳走的踏实。

虽然如今已经丢了很多羊，但是中国有句老话，亡羊补牢，为时不晚。

pravote

如何防范啊

00sou

自己能做的只有限制额度，可信用卡的口又不大好封，

依海临风

快捷支付，就是个脑残的发明。

依海临风

哪个狗日的发明了快捷支付，这种方式很奇怪，不经用户确认就扣款了。所有的赌注就压在手机短信码。一条短信验证码，能担当重任吗？

依海临风

中国当局，应该大力推广Apple Pay 支付方式。首先是虚拟的设备卡号，，第二，只有自己接触，所以无法复制。其他的什么三方快捷支付，都是狗屁。