“人在家中坐，賬單從海外來(lái)”“信用卡貼身存放，交易卻出現(xiàn)在了本人從未去過(guò)的地方”“收到入賬提醒后去查賬，才發(fā)現(xiàn)實(shí)際交易在兩天前已經(jīng)發(fā)生，此前卻沒(méi)有任何提示”……過(guò)去幾日間，類似的被盜刷信息在社交平臺(tái)“刷屏”了，涉事的浦發(fā)銀行和萬(wàn)事達(dá)卡被推上了風(fēng)口浪尖。

結(jié)合多方信息來(lái)看，浦發(fā)銀行本次盜刷事件主要集中在浦發(fā)萬(wàn)事達(dá)“紅沙宣”信用卡產(chǎn)品，在監(jiān)測(cè)到部分未經(jīng)授權(quán)的交易后，浦發(fā)銀行、萬(wàn)事達(dá)卡及萬(wàn)事網(wǎng)聯(lián)啟動(dòng)應(yīng)急調(diào)查，盜刷款項(xiàng)無(wú)需持卡人承擔(dān)。

而這并非孤例。9月16日，北京商報(bào)記者進(jìn)一步調(diào)查發(fā)現(xiàn)，不僅僅是前述“紅沙宣”信用卡產(chǎn)品卷入盜刷風(fēng)波，9月以來(lái)中信銀行萬(wàn)事達(dá)的借記卡也有遭遇盜刷的情況。多名消費(fèi)者指出，自己名下的中信銀行“暗黑破壞神”萬(wàn)事達(dá)借記卡被盜刷。不同銀行、不同卡種的盜刷信息背后，均指向了提供服務(wù)的萬(wàn)事達(dá)卡。作為連接全球商戶與發(fā)卡機(jī)構(gòu)的核心樞紐，銀行卡清算組織萬(wàn)事達(dá)卡在此次事件中的角色與責(zé)任，成為透視跨境支付安全生態(tài)的關(guān)鍵窗口。

技術(shù)防線的現(xiàn)實(shí)裂縫

浦發(fā)銀行信用卡盜刷風(fēng)波紛紛揚(yáng)揚(yáng)，無(wú)人關(guān)注的角落里，還有一家銀行的借記卡持卡用戶也遭遇了同樣的問(wèn)題。

消費(fèi)者張?zhí)欤ɑ└嬖V北京商報(bào)記者，9月12日，其收到中信銀行推送的消費(fèi)通知，頁(yè)面信息顯示銀行卡在境外消費(fèi)9.64元人民幣。張?zhí)煅杆僖庾R(shí)到銀行卡被盜刷，隨后立即向中信銀行客服反饋了相關(guān)信息。

經(jīng)中信銀行客服核實(shí)，該筆交易刷卡地點(diǎn)在印尼，交易金額約為22000印尼盾，在扣款的四天前，張?zhí)焖钟械倪@張借記卡已經(jīng)在9月8日發(fā)生了預(yù)授權(quán)。張?zhí)鞂?duì)此卻并不知情，這也讓他不禁質(zhì)疑，為何在預(yù)授權(quán)時(shí)，銀行方面沒(méi)有任何提醒。對(duì)此，中信銀行客服的解釋是，張?zhí)觳⑽撮_(kāi)通短信提醒功能。

在公開(kāi)社交平臺(tái)上分享這一經(jīng)歷后，張?zhí)煺业搅藥孜煌瑯映钟兄行陪y行“暗黑破壞神”萬(wàn)事達(dá)借記卡且被盜刷的用戶，還有一名被盜刷用戶的交易商戶與張?zhí)煜嗤?。而在張?zhí)彀l(fā)起的討論中，還有不少持有同系列借記卡的用戶表示自己遇到了同樣的情況。

張?zhí)斓脑庥鲆惨鹆藙⒂睿ɑ┑年P(guān)注。比張?zhí)旄缫稽c(diǎn)，劉宇在9月3日晚間連續(xù)收到中信銀行的短信通知，提示其交易被防盜刷安全鎖中止?！斑@張卡一直在我身邊，上一次使用是2024年12月在日本。本次盜刷方一共嘗試了三次都被系統(tǒng)攔截了，因此沒(méi)有造成我的實(shí)際損失。次日我便向銀行申請(qǐng)了換卡，這會(huì)對(duì)卡片有效期和CVV2碼進(jìn)行更新。因?yàn)閷?shí)際交易被中止，銀行方也無(wú)法查詢盜刷具體發(fā)生在何處?！眲⒂畋硎?。

針對(duì)消費(fèi)者反饋的借記卡被盜刷問(wèn)題，何種情況下會(huì)觸發(fā)“防盜刷安全鎖”、對(duì)于盜刷等風(fēng)險(xiǎn)交易有哪些防范措施，北京商報(bào)記者向中信銀行進(jìn)行采訪，但截至發(fā)稿未收到回復(fù)。

就在劉宇、張?zhí)旖舆B遭遇盜刷的期間，浦發(fā)銀行萬(wàn)事達(dá)“紅沙宣”信用卡被大規(guī)模盜刷，越來(lái)越多的消費(fèi)者在社交平臺(tái)上發(fā)布信息反饋情況，引發(fā)多方關(guān)注。綜合多方信息來(lái)看，被盜刷的信用卡中涉及的情況包括異常交易未被攔截、限額卡片被超額消費(fèi)、已申請(qǐng)注銷或已申報(bào)掛失的卡片仍被盜刷等多類，交易地點(diǎn)則均發(fā)生在境外。

9月13日，浦發(fā)銀行信用卡中心、萬(wàn)事達(dá)卡、萬(wàn)事網(wǎng)聯(lián)相繼發(fā)布情況說(shuō)明，均表示檢測(cè)到部分萬(wàn)事達(dá)無(wú)價(jià)世界卡發(fā)生未經(jīng)授權(quán)的交易，已經(jīng)第一時(shí)間啟動(dòng)應(yīng)急響應(yīng)。從北京商報(bào)記者獲得的最新進(jìn)展來(lái)看，涉事方確認(rèn)盜刷款項(xiàng)無(wú)需持卡人承擔(dān)，會(huì)陸續(xù)進(jìn)行調(diào)賬處理。

卡組織與多方的權(quán)責(zé)邊界

相較于能被大額消費(fèi)的信用卡，部分借記卡被盜刷的用戶有些慶幸，由于借記卡內(nèi)余額較少，造成的資金損失并不大，但這也并不能完全打消持卡用戶對(duì)于盜刷的擔(dān)憂。

對(duì)于引發(fā)相關(guān)盜刷的原因，業(yè)內(nèi)眾說(shuō)紛紜，更多質(zhì)疑指向了發(fā)卡行和卡組織的風(fēng)控體系。有行業(yè)人士表示，銀行卡被盜刷的情況在業(yè)內(nèi)時(shí)有發(fā)生，尤其是跨境支付領(lǐng)域，被盜刷的原因五花八門，并不能“一刀切”。此外，劉宇也在采訪中提到，自己另外持有匯豐銀行和招商銀行的萬(wàn)事達(dá)借記卡，則未發(fā)生盜刷情況。

而在浦發(fā)銀行與萬(wàn)事達(dá)卡的聲明中，“已啟動(dòng)應(yīng)急響應(yīng)”“客戶無(wú)需承擔(dān)損失”的承諾背后，還有一套復(fù)雜的跨境支付責(zé)任分配體系。

在跨境支付中，發(fā)卡行負(fù)責(zé)簽發(fā)支付卡片、審核交易并從持卡人賬戶扣劃相應(yīng)資金。而萬(wàn)事達(dá)卡這類卡組織則負(fù)責(zé)搭建全球支付網(wǎng)絡(luò)、在不同銀行間傳遞交易指令、進(jìn)行清算與結(jié)算，并負(fù)責(zé)貨幣轉(zhuǎn)換。持卡人跨境消費(fèi)后，交易信息經(jīng)卡組織網(wǎng)絡(luò)在發(fā)卡行與收單方間傳遞。

2023年11月，經(jīng)人民銀行許可，萬(wàn)事達(dá)卡與網(wǎng)聯(lián)清算公司合資成立萬(wàn)事網(wǎng)聯(lián)，這也是我國(guó)第三家獲準(zhǔn)運(yùn)營(yíng)的銀行卡清算業(yè)務(wù)機(jī)構(gòu)，后于2024年5月正式營(yíng)業(yè)。萬(wàn)事網(wǎng)聯(lián)開(kāi)業(yè)后，陸續(xù)與境內(nèi)多家支付機(jī)構(gòu)達(dá)成合作，合作支付機(jī)構(gòu)的收單系統(tǒng)可全面受理境內(nèi)外發(fā)行的萬(wàn)事達(dá)卡。

9月16日，有支付機(jī)構(gòu)方面告訴北京商報(bào)記者，作為收單側(cè)，更多獲取的是商戶信息，正常情況下無(wú)法獲得消費(fèi)者交易的完整卡片信息，尤其是卡號(hào)、有效期、CVV2碼等，風(fēng)控體系更關(guān)注的是電詐、洗錢等。對(duì)于不合理的交易，收單側(cè)在意識(shí)到風(fēng)險(xiǎn)時(shí)，會(huì)請(qǐng)求發(fā)卡行進(jìn)行校驗(yàn)，就是較為日常的短信驗(yàn)證碼環(huán)節(jié)。

而盜刷事件背后，實(shí)際上是多個(gè)環(huán)節(jié)的風(fēng)控審核缺失。另有跨境支付行業(yè)從業(yè)人員指出，在跨境場(chǎng)景中，理論上，卡組織應(yīng)該對(duì)每筆交易進(jìn)行風(fēng)控評(píng)估，并向發(fā)卡行實(shí)時(shí)推送境外交易數(shù)據(jù)，銀行則需將用戶賬戶狀態(tài)、額度變動(dòng)等信息同步至卡組織系統(tǒng)。風(fēng)險(xiǎn)分?jǐn)?shù)較高的交易，在卡組織這一環(huán)就會(huì)被拒絕。相關(guān)盜刷事件中，卡組織與發(fā)卡行的協(xié)同機(jī)制首先出現(xiàn)了斷層。

此外，前述從業(yè)人員表示，除了發(fā)卡行、卡組織、收單機(jī)構(gòu)以及商戶外，境外消費(fèi)的鏈條上還有一環(huán)是信息處理商，用于保障信息轉(zhuǎn)換與傳輸。常規(guī)交易中，一筆交易從發(fā)起到完成需要經(jīng)歷卡組織、信息處理商、發(fā)卡行、收單機(jī)構(gòu)等多重風(fēng)控體系審核，盜刷即意味著風(fēng)控體系全部失效，或是存在部分環(huán)節(jié)風(fēng)控能力薄弱、過(guò)度依賴其他環(huán)節(jié)的審核能力，最終造成盜刷。

對(duì)于產(chǎn)生盜刷的主要原因和具體的防范措施，北京商報(bào)記者向浦發(fā)銀行、中信銀行以及萬(wàn)事達(dá)卡等進(jìn)行采訪，但截至發(fā)稿未收到回復(fù)。在各方具體的責(zé)任劃分方面，多位受訪人士指出，具體還是要看官方公布導(dǎo)致盜刷的原因。

跨境支付安全的規(guī)則重構(gòu)

按照行業(yè)慣例，盜刷交易的責(zé)任判定需考察交易時(shí)間、地點(diǎn)、驗(yàn)證方式等諸多要素，但發(fā)生在境外的盜刷則為這類追責(zé)增加了難點(diǎn)。

在發(fā)現(xiàn)被盜刷后，張?zhí)煸鴶?shù)次向中信銀行尋求解決方案，但未能獲得有效回復(fù)?！般y行認(rèn)定我是綁定了境外支付后導(dǎo)致的扣費(fèi)，現(xiàn)在我仍在等待銀行給我處理方案。不能因?yàn)槭軗p金額少就忽視掉我們的合理訴求，畢竟誰(shuí)也不能保證下一次被盜刷的是誰(shuí)的銀行卡。”張?zhí)毂硎尽?/p>

張?zhí)斓慕箲]也折射出跨境支付領(lǐng)域長(zhǎng)期存在的信息不對(duì)稱，用戶難以知曉自己的卡片信息如何流轉(zhuǎn)、在哪些環(huán)節(jié)存在泄露風(fēng)險(xiǎn)，只能被動(dòng)依賴發(fā)卡機(jī)構(gòu)和卡組織的安全承諾。

20年前，萬(wàn)事達(dá)卡合作的金融交易數(shù)據(jù)處理廠商CardSystems Solutions遭遇重大黑客攻擊，導(dǎo)致大量用戶賬戶信息被泄露，極大地推動(dòng)了支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)的合規(guī)與強(qiáng)化。當(dāng)前，金融機(jī)構(gòu)的智能防控技術(shù)雖已大幅升級(jí)，但跨境支付的復(fù)雜性仍給欺詐分子可乘之機(jī)。

盜刷事件背后，全球化支付網(wǎng)絡(luò)的技術(shù)統(tǒng)一性與地區(qū)監(jiān)管差異性之間沖突仍存。早在2016年，中國(guó)人民銀行發(fā)布《關(guān)于進(jìn)一步加強(qiáng)銀行卡風(fēng)險(xiǎn)管理的通知》，要求全面應(yīng)用支付標(biāo)記化技術(shù)，對(duì)交易信息進(jìn)行脫敏處理，并建立緊急止付和快速凍結(jié)機(jī)制。但前述從業(yè)人員也提到，境外部分地區(qū)商戶端驗(yàn)證執(zhí)行標(biāo)準(zhǔn)參差不齊，為防盜刷增添了難度。

自2014年開(kāi)始，萬(wàn)事達(dá)卡開(kāi)始在全球支付網(wǎng)絡(luò)內(nèi)推行支付標(biāo)記化服務(wù)，隨著萬(wàn)事網(wǎng)聯(lián)在中國(guó)展開(kāi)業(yè)務(wù)，這一服務(wù)在中國(guó)境內(nèi)也已落地。據(jù)介紹，支付標(biāo)記化服務(wù)，即應(yīng)用支付標(biāo)記化技術(shù)，替代銀行卡卡號(hào)、卡片驗(yàn)證碼、支付機(jī)構(gòu)支付賬戶等敏感信息，通過(guò)設(shè)置支付標(biāo)記的交易次數(shù)、交易金額、有效期和支付渠道等約束規(guī)則，從源頭控制信息泄露和欺詐交易風(fēng)險(xiǎn)。

在博通咨詢首席分析師王蓬博看來(lái)，跨境支付安全薄弱環(huán)節(jié)主要表現(xiàn)在跨境風(fēng)控?cái)鄬?、?yīng)急響應(yīng)遲緩，以及銀行與卡組織風(fēng)險(xiǎn)數(shù)據(jù)共享不及時(shí)等方面。卡組織作為結(jié)算方，需履行技術(shù)風(fēng)控義務(wù)，應(yīng)通過(guò)系統(tǒng)漏洞追溯、跨境風(fēng)險(xiǎn)攔截阻斷盜刷，并協(xié)助銀行完成資金賠付流程。

在發(fā)卡行與卡組織的協(xié)同上，王蓬博指出，首先雙方需打破信息壁壘，建立實(shí)時(shí)數(shù)據(jù)共享機(jī)制，例如發(fā)卡行可共享客戶日常消費(fèi)場(chǎng)景、地域偏好等行為數(shù)據(jù)，結(jié)算方可同步跨境高風(fēng)險(xiǎn)地區(qū)交易動(dòng)態(tài)、商戶合規(guī)信息，及時(shí)攔截異常交易；其次應(yīng)聯(lián)合推進(jìn)技術(shù)升級(jí)，加快芯片卡全面普及，并共同研發(fā)智能風(fēng)控系統(tǒng)，強(qiáng)化對(duì)反常交易的主動(dòng)預(yù)警能力；最后要明確權(quán)責(zé)劃分與應(yīng)急流程，通過(guò)協(xié)議約定盜刷事件中發(fā)卡行的先行賠付責(zé)任、結(jié)算方的風(fēng)險(xiǎn)溯源與漏洞阻斷義務(wù)。

北京市社會(huì)科學(xué)院副研究員王鵬則建議，跨境支付盜刷問(wèn)題需通過(guò)“技術(shù)防御強(qiáng)化—責(zé)任邊界明晰—監(jiān)管協(xié)同升級(jí)”構(gòu)建閉環(huán)體系。技術(shù)層面應(yīng)加速動(dòng)態(tài)加密與AI風(fēng)控普及，由國(guó)際組織牽頭制定跨境支付安全框架，明確發(fā)卡行、卡組織、商戶的責(zé)任邊界與協(xié)作流程。同時(shí)，要強(qiáng)化消費(fèi)者保護(hù)，提醒消費(fèi)者關(guān)閉非必要境外支付功能，最終實(shí)現(xiàn)安全與效率的平衡。

北京商報(bào)記者 廖蒙