网上支付的安全风险与对策研究

李俊良

摘要：信息化建设在各行各业的全面推进使得网上支付成为现今信息社会一种重要的支付渠道，极大地方便了人们的工作和生活。但同时，网上支付的安全事件也大量涌现。本文分析网上支付的一般过程及可能存在的身份假冒、交易数据泄露与篡改、商家欺诈等风险，进而从技术和管理两方面提出安全对策，防止因网上支付造成用户的财产损失和个人信息泄露。

关键词：网上支付 电信诈骗 手机木马

中图分类号： TP393.08 文献标识码：A 文章编号：1007-9416（2016）12-0193-02

随着信息技术的飞速发展，以及人们对工作、学习、娱乐、消费的便捷性要求越来越高，各种信息技术产品层出不穷。尤其是因特网普及后，消费者和服务商之间面对面的交易不再是必须，网上支付带来了极大的便捷性，交易各方利用银行所支持的数字金融工具，通过因特网进行交融交换，实现用户到金融机构、商家之间的在线货币支付、现金流转、资金清算、查询统计等过程，为电子商务和其他服务提供金融支持[1]。

现金转帐、购物支付、网上缴费等网上支付业务极大地方便了人们的生活和工作，这种新颖快捷的支付方式被越来越多的消费者接受。足不出户，就可以实现轻松生活，网上支付成为许多人日常生活不可缺少的支付方式。

但与此同时，网上支付的安全事件不时发生，给用户造成了或多或少的财产损失和大量的个人信息泄露，令人们在使用网上支付时难以真正放心。

1 网上支付过程

通过分析网上交易参与各方的活动，网上支付的组成要素有：因特网（Internet），客户，商家，开户银行，支付网关，银行网络，认证中心。其工作流程如图1所示。客户通过个人计算机或者移动终端访问商户的网站，登录时与认证中心交互，取得自己的个人信息用于身份鉴别；客户选择商品或服务后，确认下单，其信息及购物款项信息就会被加密发送到支付网关，支付网关与客户的购物支付卡发卡银行通信，验证其合法性；通过后，确认支付和购物交易合法有效；其后，物流将商品送至客户处，客户确认收货后，交易完成。

目前，网上支付方式包括通过网上银行进行的转账支付（即银行网关模式）、通过第三方平台完成的支付（即第三方支付平台模式）[2]，银联模式和电子现金等。其工作原理分别如下：

（1）银行网关模式：商家与银行签约，其网站平台直接链接到银行网银系统，客户购物交费实际上就是将现金直接转帐到商家。

（2）第三方支付平台模式：电子商务平台先链接到第三方支付平台，支付平台再和银行链接而完成支付手段的一种方式。我国的第三方支付行业发展迅猛，有独立的支付企业诸如快钱、易宝、首信易等，而作为电子商务平台延伸的在线支付工具如淘宝的支付宝、腾讯的财付通、百度的百付宝等[3]。

（3）银联模式：在银联在线支付的网站完成的支付模式。

（4）电子现金。在支付机构注册虚拟账户，通过向虚拟账户充值进行相关支付业务，如购买游戏币、QQ币等。

这些支付模式既可以通过PC机支付，也可以通过手机、平板等移动智能终端完成。分析网上支付过程和支付形式，客户端、网络协议、互联网基础设施、支付网关等处都可能存在风险。网络支付安全是一个系统工程，需要银行、支付机构、安全厂商、商户、网络管理部门以及消费者共同努力。

从目前网络支付的发展水平和出现的网络支付案例来看，各个银行针对网上支付采用的安全技术和手段（如一次性口令、USB KEY、短信验证码等）都较成熟，达到了很高的安全性。而网上支付安全事件的发生在大多数情况是用户安全防范意识薄弱和相应的安全技能不足所致。下面列出网上支付可能存在的一些风险。

3 网上支付的风险分析

3.1 用户的身份冒充

这种攻击基于用户身份信息被盗用。攻击者通过非法手段（如植入木马、钓鱼等）盗取合法用户的身份信息，仿冒其身份进行转帐或与他人交易，或实施诈骗以获得非法利益。

已发生的诸多案例都表明，国内很多网站都存储了用户的基本信息（包括姓名、银行卡号等），但其都或多或少存在安全漏洞，容易被入侵而导致大量完整的用户信息被泄露。国内外都有复制信用卡，盗刷的事件报道。除此之外，电信诈骗、二维码含恶意链接、钓鱼网站、手机木马等威胁也会造成大量银行卡信息的泄露。而目前正在快速发展的很多带有闪付功能的银行卡，还能在近距离非接触的情况下通过特定终端读取用户信息，这种读取方式静默，很难发现。

3.2 敏感数据泄露

网上支付的敏感数据一般包括个人信息（姓名、银行卡号、通信地址等）和购物信息（商品名称、价格、数量、购买时间等）。这些数据有可能在传输中泄漏、丢失或被篡改，如攻击者利用电磁泄漏或搭线窃听等方式截获还原传输的这些敏感信息，或通过对信息流向、流量、通信频度和长度等参数的分析，探测和分析有用信息。

3.3 交易数据篡改

攻击者通过在客户的计算机上植入木马、制作钓鱼网页或截获传输中的信息，篡改其交易数据，如修改消息次序、时间、数量、金额，注入伪造消息、重放交易等，使信息失去真实性和完整性。

3.4 商家假冒或欺诈

商家被别人假冒，提供假货或者收到付款后抵赖交易。

4 网上支付的安全对策

为加强网上支付的安全，需参与各方从技术和管理两方面同时着手，在技术上提高安全性，同时在规范管理上防范非法行为。技术上包括：

4.1 个人计算机或移动终端安全

一般來说，作为公共基础设施的支付网关和电子商务网站等的安全性都是较高的。而个人使用的计算机和移动终端的安全性堪忧。因此，个人计算机要及时安装和更新病毒木马查杀软件，及时升级操作系统和应用软件，不轻易打开不明文件和访问安全性未知的网站，不下载安装安全性未知的软件，不接入公共wifi和使用公共计算机进行登录和支付，以防止计算机被黑客攻击，导致个人信息泄露。

4.2 密码技术

一方面，采用密码相结合的多因子身份认证技术，加强身份认证的强度，防止身份信息被窃取、盗用和假冒，如数字证书、短信验证码、动态口令、USB Key等。另一方面，采用加密技术对用户信息和支付数据进行加密，防止敏感信息泄露和被篡改。计算机或手机上安装基于密码技术的数字证书后，即使账户支付密码被盗，也需要在已经安装了数字证书的计算机上才能支付，保障资金安全。

4.3 网络基础设施安全

采用多种措施保证网络基础设施安全，包括操作系统、网络协议、数据库、硬件设施等，这与技术的发展紧密相关。

管理方面的措施，主要针对组织和人而言。其主要工作是加强网上支付的监管，要求监管机构、银行和商家做好安全措施，并教育消费者树立安全意识，养成良好的安全习惯。

4.4 建立与完善网上支付的法律法规

随着网上业务在我国的发展，国家相继出台了多部法律法规，如《中华人民共和国电子签名法》明确了电子签名的法律有效性，使得网上业务受到法律保护；《电子认证服务管理办法》、《电子支付指引》、《电子银行业务管理办法》和《电子银行安全评估指引》等法律法规针对网上业务领域给出了一些具体的指导意见。但违法交易所要承担的法律责任，法定的电子货币发行人、合理的货币识别制度以及电子货币使用中各方隐私权保护制度等法律问题[4]上还需要进一步明确。而作为金融监管机构的中央银行则要结合我国国情并借鉴国外发展经验，严格技术标准，强化业务监管。

今年11月，国家出台《中华人民共和国网络安全法》，在网络安全各方面将做出指导性规定。而在这部法律出台后，各领域相关配套的法律法规，包括网上支付方面的法规也会随后推出，以规范网上支付活动，打击违法犯罪，保护合法权益。

4.5 加强法制和安全意识宣传

通过多种途径宣传和公开典型案例，警示用户树立安全意识，培养良好的安全习惯，比如电信诈骗案例、短信二维码恶意链接案例、网络钓鱼案例、其他社工案例等。通过宣传，促使用户采用银行等机构提供的安全产品和采纳银行等机构的安全建议，提高安全防护能力，如密码强度足够，并与其它密码不同，支付卡专用，金额随用随存等。在网络支付发现情况有异时，如页面跳转、不停要求输入信息或弹出无关提示等时，停止操作以止损，并报警和保护现场。同时，加强对网络不法行为的追查处罚力度，威慑不良企图者，减少违法行为发生的可能性。

4.6 网络实名制

今年电信实名制也真正落实实施，将对电信诈骗起到很强的防范作用。

同样，通过网络实名制，使得网络上的虚拟身份能与现实社会的身份对应，防止交易抵赖，方便追究和落实相关责任人。同时，网络实名制也将对攻击者形成强大的威慑力，利用网上支付实施的违法犯罪行为也将大大减少。

5 结语

网络支付应用已非常广泛，只有保证其安全性才能健康稳定发展。本文基于网络支付可能存在的风险，从技术、管理等方面提出了相应的安全对策，防止用户的财产损失和个人信息泄露。

参考文献

[1]刘亚军.网上支付系统的安全性研究[J].现代电子技术，2013，36（8）：74-76.

[2]王淦银.我国网上支付六大瓶颈待破[J].中国银行业，2015，（1）：85-87.

[3]张艳冀.信息化时代下的電子支付产业发展研究[J].电子技术与软件工程，2013，（23）：250-251.

[4]周莉婷.我国电子商务网上支付业务存在问题及对策[J].淮北职业技术学院学报， 2008， 7（4）：41-42.