用支付寶、微信等應(yīng)用掃碼付款，迎來額度限制，最低等級(jí)掃碼的單日支付限額為500元。央行近日發(fā)布《中國人民銀行關(guān)于印發(fā)〈條碼支付業(yè)務(wù)規(guī)范（試行）〉的通知》，從額度、風(fēng)險(xiǎn)防范等多個(gè)角度對(duì)掃碼支付進(jìn)行了規(guī)范。

二維碼支付存在哪些安全漏洞？限額能多大程度上保障支付安全？如何盡快轉(zhuǎn)變制作、發(fā)布二維碼的無序狀態(tài)？

二維碼在支付領(lǐng)域或有“原罪”

車寧（中國農(nóng)業(yè)銀行網(wǎng)絡(luò)金融部員工）

掃碼支付的二維碼，本質(zhì)是支持用戶在智能終端快速錄入數(shù)據(jù)的工具，其特點(diǎn)在于錄入內(nèi)容在外觀上不能為肉眼識(shí)別，且是單向信息傳送，這是二維碼從工業(yè)應(yīng)用母體中所繼承而來的先天屬性，但在支付領(lǐng)域或成為其不可承受的“原罪”：

從條碼來說，偽造、變?cè)於S碼沒有技術(shù)門檻，設(shè)備在對(duì)信息識(shí)別后直接進(jìn)入處理過程，沒有撤回機(jī)制。APP為提升客戶體驗(yàn)，普遍使用短網(wǎng)址且在瀏覽中遮蔽地址欄，這就更增加了對(duì)病毒等風(fēng)險(xiǎn)發(fā)現(xiàn)的難度。

從信息傳送來說，掃碼支付的兩種方式——客戶主動(dòng)掃碼和被動(dòng)掃碼在身份識(shí)別上都是單方面一次上送二維碼信息，為確保交易便捷，支付機(jī)構(gòu)也不愿增加認(rèn)證通道。在實(shí)踐中，靜態(tài)二維碼堂而皇之地置于公開場(chǎng)合，在缺乏雙向安全認(rèn)證情況下無異于“裸奔”。

從用卡環(huán)境來說，掃碼支付在流程上其實(shí)是對(duì)POS機(jī)刷卡的變相模擬，但POS機(jī)只具有支付的單一功能且部署了嚴(yán)格的安全認(rèn)證和密鑰體系，而手機(jī)系統(tǒng)被Root、越獄后會(huì)有病毒感染的可能性，底層數(shù)據(jù)被打通后還存在權(quán)限劫持的風(fēng)險(xiǎn)。

從賬務(wù)處理來說，掃碼支付存在單邊賬和洗錢套現(xiàn)風(fēng)險(xiǎn)，資金很可能跑出交易閉環(huán)，追索難度很大。另外，在掃碼支付業(yè)務(wù)拓展期，支付機(jī)構(gòu)普遍降低了商戶準(zhǔn)入門檻，留檔要求越來越低，費(fèi)率一降再降，滋生了相當(dāng)數(shù)量的套現(xiàn)甚至詐騙事件，且不易偵測(cè)。

從交易流程來說，過去無論線上線下支付，都沿襲商戶創(chuàng)建訂單，客戶確認(rèn)支付，支付機(jī)構(gòu)后端處理的模式；而掃碼支付流程變?yōu)橹Ц稒C(jī)構(gòu)從后端走向前臺(tái)，參與甚至主導(dǎo)訂單的建立，對(duì)原來商戶-客戶二維法律關(guān)系進(jìn)行了顛覆式重整，客觀上加重了自身所承擔(dān)的義務(wù)，也給交易帶來了新的不穩(wěn)定性。

上述這些問題，有待從技術(shù)和法律兩個(gè)方向上去解決。

從三方面提升掃碼支付的安全

趙之胤（手機(jī)支付從業(yè)者）

掃碼支付的風(fēng)險(xiǎn)并非剛為人所知。早在2014年3月，人民銀行就曾向支付寶下發(fā)緊急文件叫停線下支付業(yè)務(wù)，不過后來還是難擋手機(jī)支付發(fā)展的洶涌趨勢(shì)，2016年8月，在對(duì)業(yè)務(wù)發(fā)展進(jìn)行規(guī)范后，央行又以其下屬的支付清算協(xié)會(huì)名義認(rèn)可了支付寶線下支付的合法性。

從實(shí)踐來看，對(duì)掃碼支付的安全提升主要應(yīng)從三方面努力：

技術(shù)方面，要使用國際芯片卡標(biāo)準(zhǔn)化組織推出的支付標(biāo)記化技術(shù)，通過標(biāo)記代替銀行卡號(hào)進(jìn)行交易驗(yàn)證。另一方面，從基礎(chǔ)入手，要求二維碼生成須遵守相關(guān)部門發(fā)布的技術(shù)標(biāo)準(zhǔn)并控制生成通道。

模式方面，逐漸用較為安全的客戶被掃模式代替粗放低費(fèi)的客戶主掃模式，保證二維碼信息生成、傳輸、解析的真實(shí)性和完整性，減少客戶中毒、被下木馬以及遭遇信息篡改的風(fēng)險(xiǎn)。

制度方面，要引入“你敢付，我敢賠”的保險(xiǎn)機(jī)制，完善非正常交易損失補(bǔ)償機(jī)制。還應(yīng)保證對(duì)異常交易數(shù)據(jù)的監(jiān)控，要求支付雙方與移動(dòng)設(shè)備、身份證甚至銀行卡綁定，同時(shí)要求遵守反洗錢、反欺詐、信息安全和消費(fèi)者保護(hù)等規(guī)定。

掃碼支付將一個(gè)安全上不滿足金融交易要求的技術(shù)廣泛投入到了最高頻的應(yīng)用場(chǎng)景，重安全策略的應(yīng)用在主打便捷的場(chǎng)景里天然被排斥，因此掃碼支付背后蘊(yùn)藏的“奧秘”是大部分安全策略等同虛置，真正起作用的實(shí)際上只有限額。但是當(dāng)掃碼支付從邊緣走向主流，不可避免地會(huì)擴(kuò)張業(yè)務(wù)邊界，隨著其業(yè)務(wù)樣態(tài)越來越復(fù)雜，最終交易效率也會(huì)被拉到平均水平邊緣?？梢灶A(yù)見，掃碼支付在未來一個(gè)時(shí)期還會(huì)光鮮亮麗，只是在其日漸模糊的面龐后面，我們依稀看見了當(dāng)年NFC和POS“死在沙灘上”的影子。

看新規(guī)如何轉(zhuǎn)變掃碼支付的無序狀態(tài)

肖颯（互聯(lián)網(wǎng)金融法律專家）

從法律角度加強(qiáng)監(jiān)管，轉(zhuǎn)變掃碼支付的無序狀態(tài)，自然要認(rèn)真研讀2018年4月1日生效的《條碼支付業(yè)務(wù)規(guī)范（試行）》的規(guī)定：

首先，條碼支付要遵循“三不得”。支付機(jī)構(gòu)不得采取二維碼的方式進(jìn)行借貸、投資、投保、換匯、取現(xiàn)等；銀行、支付機(jī)構(gòu)不得利用二維碼支付從事非法交易等；銀行、支付機(jī)構(gòu)不得采取不正當(dāng)競爭手段排擠競爭對(duì)手、損害其他市場(chǎng)主體利益，破壞市場(chǎng)公平競爭秩序。

第三個(gè)“不得”針對(duì)的是各家支付機(jī)構(gòu)爭奪客戶的“戰(zhàn)爭”。有采取返現(xiàn)、打折、送禮等做法，還有設(shè)置各類錢包讓消費(fèi)者提前消費(fèi)等，甚至還有“獨(dú)家代理支付”等約束消費(fèi)者的行為。

其次，交易安全是二維碼支付的首要任務(wù)，沒有之一。銀行、支付機(jī)構(gòu)開展二維碼支付業(yè)務(wù)必須做三種要素的組合驗(yàn)證：靜態(tài)密碼、數(shù)字證書、生物特征等。因此，單靠刷臉本身不能直接完成支付，必須如上三種之兩種或全部進(jìn)行驗(yàn)證，才達(dá)到最低標(biāo)準(zhǔn)。同時(shí)，由于手機(jī)被盜、電腦被黑等現(xiàn)實(shí)問題，采用一次性密碼作為驗(yàn)證要素的，應(yīng)當(dāng)切實(shí)防范一次性密碼獲取端與支付指令發(fā)起端為相同設(shè)備的風(fēng)險(xiǎn)，將一次性密碼有效期限定在最短必要時(shí)間內(nèi)。

再次，規(guī)范掃碼支付的“真實(shí)場(chǎng)景”很重要，按照規(guī)定正確選用交易類型，準(zhǔn)確標(biāo)識(shí)交易信息并完整發(fā)送，確保交易信息的完整性、真實(shí)性、可追溯性。從實(shí)際辦案的角度，如果能夠再現(xiàn)交易場(chǎng)景和過程，就有利于還原事情的真實(shí)情況。

另外，在沒有個(gè)人破產(chǎn)法律制度的當(dāng)下，限制“剁手黨”的沖動(dòng)消費(fèi)十分有必要，對(duì)于儲(chǔ)蓄卡用戶，因?yàn)橛杏嗉Z不必過分限制，但對(duì)于信用卡的消費(fèi)必須作出限定。

最后，新規(guī)要求科技金融不能外包核心技術(shù)。一些金融科技公司號(hào)稱為銀行等機(jī)構(gòu)提供核心技術(shù)，受理終端主密鑰生成和管理等，現(xiàn)在看來，這個(gè)生意銀行不敢輕易給“外人”做了。

將信息的“根服務(wù)器”建在中國

張也平（中國二維碼產(chǎn)業(yè)聯(lián)盟執(zhí)行秘書長）

二維碼是一個(gè)跨學(xué)科、跨領(lǐng)域、跨行業(yè)的信息化應(yīng)用工具，與國家網(wǎng)絡(luò)信息安全、經(jīng)濟(jì)運(yùn)行安全、公共安全和百姓生活息息相關(guān)。目前我們大量運(yùn)用的國外二維碼技術(shù)，其開放式的市場(chǎng)應(yīng)用模式導(dǎo)致了各種安全問題頻發(fā)且難以有效監(jiān)控。

目前我國廣泛應(yīng)用的是日本電裝株式會(huì)社1994年研制的快速響應(yīng)碼，由于當(dāng)時(shí)國內(nèi)沒有自主知識(shí)產(chǎn)權(quán)的二維碼技術(shù)，快速響應(yīng)碼自2000年起被我國廣泛應(yīng)用于政務(wù)系統(tǒng)、智能制造、金融支付、電子商務(wù)、新聞傳媒等領(lǐng)域。

國內(nèi)的二維碼市場(chǎng)幾乎全部被快速響應(yīng)碼占據(jù)，但快速響應(yīng)碼專利既沒有在國內(nèi)申請(qǐng)，也沒有放棄專利權(quán)。2015年快速響應(yīng)碼頒布了新的技術(shù)標(biāo)準(zhǔn)并開始收取專利費(fèi)用，但國內(nèi)市場(chǎng)仍在免費(fèi)使用2000年的技術(shù)標(biāo)準(zhǔn)，隨時(shí)可能產(chǎn)生嚴(yán)重的知識(shí)產(chǎn)權(quán)風(fēng)險(xiǎn)，甚至可能直接影響到經(jīng)濟(jì)社會(huì)運(yùn)行安全。

為了達(dá)到市場(chǎng)壟斷目的，快速響應(yīng)碼采取了所謂的全市場(chǎng)免費(fèi)開放策略，導(dǎo)致我國二維碼應(yīng)用基本處于失控和無序狀態(tài)。任何人都可以通過網(wǎng)絡(luò)下載生成和解析二維碼，并通過前臺(tái)的手機(jī)進(jìn)行實(shí)時(shí)解碼，但沒有后臺(tái)對(duì)前臺(tái)解析的內(nèi)容進(jìn)行識(shí)別和監(jiān)控，出了問題往往無法鎖定責(zé)任主體。

只有以自主知識(shí)產(chǎn)權(quán)二維碼核心技術(shù)和相應(yīng)的中國標(biāo)準(zhǔn)為基礎(chǔ)的信息系統(tǒng)，才能將信息的“根服務(wù)器”建立在中國，從而在保障國家信息安全的同時(shí)避免國外標(biāo)準(zhǔn)帶來的專利風(fēng)險(xiǎn)。

實(shí)際上，我國自主研發(fā)的漢信碼、GM碼、CM碼的標(biāo)準(zhǔn)能力、技術(shù)水平等都不低于國外標(biāo)準(zhǔn)，完全具備替換QR碼和PDF417碼的技術(shù)標(biāo)準(zhǔn)能力和產(chǎn)業(yè)配套能力。然而，國產(chǎn)標(biāo)準(zhǔn)因缺乏政策扶持和驅(qū)動(dòng)而遲遲不能有效使用，這極大制約了我國自主二維碼產(chǎn)業(yè)的發(fā)展。