警惕银行卡欺诈新花样

郭子源

商户在安装POS机时，要选择正规渠道，不可轻信银行工作人员以外的推销人员。持卡人还可给自己的信用卡、借记卡设定刷卡上限，以增强账户安全性。需要注意的是，部分不法分子以赠送小礼品为诱饵，诱使持卡人用手机扫描二维码，进而将木马病毒植入持卡人手机，直接截留银行发送给持卡人的短信验证码……银行卡使用安全正面临新挑战。

中国银行业协会日前发布的《中国银行卡产业发展蓝皮书（2017）》显示，2016年我国银行卡欺诈率为2.57基点，较上年上升0.68基點，欺诈手段突出表现为线下伪卡盗刷、线上账户盗用、电信诈骗。

与此同时，随着支付手段日益多样化，特别是线上非面对面交易快速化、匿名化，欺诈手法也不断翻新，欺诈风险管控难度加大。应如何识别上述欺诈手段？如何有效防控银行卡欺诈风险？

“伪卡盗刷”链条

伪卡盗刷是信用卡欺诈的最主要类型。2016年信用卡欺诈损失以伪卡交易为主，且占比较上年有所上升；其次是虚假身份、互联网欺诈。借记卡欺诈的主要类型则是电信诈骗，其次是互联网欺诈、伪卡盗刷。

所谓伪卡盗刷，是指不法分子将银行卡磁条信息侧录，包括账号密码等，再利用这些信息复制出一张伪卡，用伪卡在POS机、ATM机上实施盗刷。

“磁条信息侧录是核心。目前信用卡仍是磁条卡，更容易被侧录，借记卡中的磁条卡也容易被侧录，芯片卡就安全很多。”一位银行负责人说。

家住湖北省武汉市的胡女士发现自己的借记卡被人取走了24900元，取款地是重庆市某ATM机。然而，借记卡明明就在身边，怎么会在异地的ATM机上被盗刷了呢？

经侦破，重庆警方发现这里面包含了一个完整的“伪卡盗刷犯罪链条”——研发POS机盗录芯片、改造POS机、窃取银行卡刷卡信息、国外制作伪卡、国内盗刷提现。具体来看，该案犯罪嫌疑人伙同他人，共同研发出了侧录银行卡磁道信息及支付密码的芯片，然后用虚假商家身份，骗取网络支付公司信任，申办了10余台POS机，把芯片嵌入POS机中，完成改装，再通过支付公司代理人，将改装后的POS机推销到某些消费场所。

持卡人用上述POS机刷卡支付时，其银行卡账户信息、支付密码等数据就会被芯片侧录、窃取。此后，犯罪嫌疑人会以维修为借口，定期从芯片中导出数据，利用这些数据在境外制作“伪卡”，再拿伪卡回境内取现、消费。

“值得注意的是，近年来伪卡盗刷的商户合谋案件增多。”公安部相关负责人说，某些收单机构的商户入网审核不严，不法分子利用这一漏洞，虚假申请商户或者与商户合谋实施欺诈，并快速转移账款。

规模化信息窃用

如何避免自己的银行卡信息被侧录窃用？业内人士提醒，针对借记卡，建议持卡人将磁条借记卡更换为安全性更高的“IC芯片卡”，同时定期更换支付密码，并绑定手机短信通知，第一时间了解自己的账户状态。

由于目前信用卡仍是磁条卡，建议持卡人刷卡时，选择正规的营业场所。商户在安装POS机时，要选择正规渠道，不可轻信银行工作人员以外的推销人员，以避免被不法分子利用。

此外，持卡人可以给自己的信用卡、借记卡设定刷卡上限，如果消费金额超过该上限，必须通过手机验证码来确认，以增强账户的安全性。“还有，不要在绑定第三方支付工具的银行卡上存放大量资金，以免不法分子利用第三方机构漏洞，窃用信息。”银行业协会相关负责人说。

利用第三方机构漏洞批量化、规模化窃用信息，也是银行卡欺诈翻新手法之一。近年来，第三方支付机构、外包服务商已成为不法分子攻击的对象。部分第三方机构违规留存银行卡磁条数据、敏感数据访问权限管理不善，不法分子用黑客技术，恶意攻击第三方机构后台数据库，批量获取客户账户信息。

其中，“撞库”、“扫号”手法较为常见。黑客首先收集已泄露的、分散式的账户信息、密码，然后批量登录其他网站，把这些信息与各个持卡人的银行、支付宝账号等信息逐个匹配，最终“撞大运”似地“撞”出部分持卡人的可用信息。

攻击手机移动端

除了线下、线上信息窃用，手机移动端也正成为银行卡欺诈重灾区。“近期，部分不法分子以赠送小礼品为诱饵，诱使持卡人用手机扫描二维码，进而将木马病毒程序植入持卡人手机，直接截留银行发送给持卡人的短信验证码。”公安部相关负责人说。

众所周知，短信验证码是支付密码外的第二道安全保障，由此，非法截取、骗取验证码就成为银行卡欺诈的关键一步。

目前手机移动端的常见攻击手法有二：一是不法分子修改持卡人预留手机号，进而实施网络盗刷。例如，不法分子利用变号软件，伪装成持卡人给银行客服系统打电话，要求修改预留手机号码、密码。

二是不法分子编造积分兑换、额度调整、退货退款等理由，向持卡人手机发送钓鱼网站链接，持卡人点击该链接后，交易验证号码即被盗取，不法分子进而完成盗刷。

面对以上新手法，部分银行已采用“虚拟手机号”、“非预留电话”等技术升级信息保护。目前，浦发银行信用卡为客户传输信息时，不再显示客户真实的手机号码，以动态虚拟号代替；民生银行则推出了“非预留电话进线”、“交互式动态语音验证”功能，设置了周期性多次致电提醒、账户争议及处理提醒等多项风险业务提示，以更加有效地防范风险。