用户角度的移动支付操作风险分析

卢林

摘 要：移动支付具有先进性、便捷性和大众性的特点，已经成为当代消费者最主要的支付方式。微信支付在其中占据着重要位置。目前微信支付主要有消费、转账、理财三类使用场景，用户是这些场景的直接使用者，其在使用前缺乏安全意识，高估自己行为的理性程度，或者在使用时对支付方式认识不足，盲目信任其安全性和私密性，导致错误操作或者操作不当，容易因此引发密码安全、资金安全、个人信息安全等方面的操作风险。只有用户了解移动支付系统的运行特征、正确认识自身操作行为，才能防范用户操作风险。本文以微信支付为例，重点分析由用户操作引发的移动支付风险的表现，并提出对策。

关键词：移动支付；微信支付；操作风险

近年来，随着综合国力的提升，科技的力量也在不断壮大，互联网走进大众的视野；而在金融科技的创新驱动下，传统金融与科技的大交融，互联网金融由此诞生，成为未来的一段时间内发展态势。在互联网金融背景的推动下，移动支付具有移动性、即时性、便捷性的特点，加之国内移动支付技术的不断创新，在大众的日常消费场景中得到了广泛的应用。目前，我国的移动支付的用户规模、业务交易量及金额也在逐年上升，发展前景广阔。同时，由于移动支付业务发展迅速，产生了一系列风险安全问题，如何有效及时地处理好移动支付的安全问题，有效保障移动支付用户的资金安全，营造良好的移动支付环境，对加强对移动支付的监管思路和对策提出了更迫切和更高的要求。由于系统本身的复杂性，移动支付操作风险的防范是一项长期的综合性工程，需要包括支付平台、通讯商以及金融监管当局等多方面主题的通力合作。本文重点从用户角度进行分析，以期形成一个规范自身操作行为的指南。

一、移动支付的概念和发展现状

互联网金融是互联网技术和金融行业相结合的产物，相比于传统金融行业，其依托互联网核心技术完成各项金融服务功能。作为互联网金融的核心分支，根据中国人民银行2021第一季度的支付体系运行报告，移动支付指的是基于无限通信技术，利用移动终端设备，通过运营商的网络和移动支付系统所进行的银行转账、缴费和购物等商品交易活动。

相较于传统的支付方式，移动支付更具先进性、便捷性和大众性，因而迅速崛起，逐渐覆盖了生活和工作的多个场景。根据第 47 次《中国互联网络发展状况统计报告》，截至 2021年3月，我国手机网络支付用户数量已达7.65 亿，较2018年年底增长1.82亿。在国内的所有支付工具中，借记卡使用占比为16%，贷记卡达14%，现金使用达13%，其他工具达7%，移动支付使用的占比已达50%，说明移动支付已经成为大多数消费者支付的首选方式。

根据中国银联于2021年2月1日发布的《2020移动支付安全大调查研究报告》显示，在 2020 年我国的移动支付用户已超过8亿，移动支付市场规模连续三年居全球第一，平均每人每天使用移动支付3次，使用频率达5次的人群占比高达总调查人数的四分之一。同时，得益于居民人均收入的上涨和二维码收款的普及，移动支付发展更加广泛和深入，应用场景更加多元，覆盖了个人应用、移动金融和移动消费三大板块，对各行各业产生了重大影响。可以说，移动支付无处不在。

然而，移动支付面临的风险却成为其进一步发展的瓶颈。犯罪分子利用移动支付的漏洞，对公民的财产安全造成了巨大威胁。2021年，全国检察机关共起诉电信网络诈骗犯罪4万人，其中未成年人和老年人受骗案件多发，网络刷单返利、虚假投资理财、虚假网络贷款、冒充客服、冒充公检法是5种主要的诈骗类型。从中可以看出，移动支付风险发生的原因有很多，既有平台技术安全与信息泄露、监管主体缺位和法律制度不完善等因素，也有用户自身操作不当和安全意识缺失等因素。

为了保障移动支付业务健康有序发展，相关部门颁布了一系列政策，有效地填補了监管体系的漏洞。2010年6月，中国人民银行发布《非金融机构支付服务管理办法》，确立了市场准入机制。2016 年，中国支付清算协会制定了《条码支付业务规范（征求意见稿）》，规范条码支付业务，维护消费者的合法权益。2019 年，中国人民银行颁布了《支付结算合规监管数据接口规范》，要求支付机构按照接口规范完成数据提取和报送工作。2020 年，中国人民银行颁布《网上银行系统信息安全通用规范》，对网上银行系统安全技术要求、安全管理要求、业务运营安全要求进行了规定，为网上银行系统建设、运营及测评提供了依据。同年，中国银联颁布《支付终端安全技术规范》，中国银联再次升级了支付终端安全技术。随着支付安全科技的不断创新和移动支付监管制度的不断完善，用户自身在防范移动支付风险中的重要性日益凸显。

二、用户操作风险的表现——以微信为例

用户是移动支付的使用者和主要参与者，用户在移动支付平台进行交易时，由于自身的一些不当操作行为或错误使用方法，会阻碍用户顺利完成移动支付的过程，甚至对支付安全造成危害。按照用户支付安全问题发生的原因的不同，可将其细化分为信用风险和操作风险两大类。信用风险指的是得到支付授权的机构，由于违规操作或者存在违法行为等，致使其不能继续履行职责，最后由用户为损失买单的风险。例如，用户在微商中购买产品后出现了质量问题，投诉无门，造成财产的损失。而操作风险指的是由移动支付使用者自我保护和网络安全意识薄弱以及支付软件和硬件使用不当等造成损失的风险。

微信支付凭借其社交属性形成的高用户黏性在移动支付领域占据着重要位置。中国支付清算协会发布的《2020年移动支付用户问卷调查报告》显示，微信支付是该年度用户最常使用的移动支付产品之一，其使用率高达92.7%，微信支付已与百姓生活息息相关。目前，微信支付的主要应用情景可分为三类：第一类是消费，包括移动端应用 App支付、H5支付、付款码支付“和扫一扫”支付以及小程序支付五种，根据是否需要输入密码还可以分为普通支付和免密支付、小额免通知支付。第二类是转账，即用户将银行卡与微信财付通绑定使之具备支付功能的业务，其中还有微信于2014年春节期间推出的“红包”业务，这是在原有支付基础上开发的一种新的转账形式。第三类是理财，微信支付于2014年1月推出理财通服务，上线货币基金、保险类理财、债券基金、指数基金、混合型基金、境外型基金等多元化理财产品，以及工资理财、指数定投等多种便捷功能，旨在满足用户的多元化财富管理需求。

微信支付的多元、便捷、智能使其用户规模逐渐变大，成为备受欢迎的支付方式。但是，在使用的过程中，环节众多、流程复杂，操作频繁、操作失误或恶意事件等都会导致操作风险的产生。

赫伯特·西蒙最早提出“有限理性”（bounded rationality）概念，他认为人的行为“意欲合理，但只能有限达到”。按照这一理论，用户操作风险来源于对移动支付系统及潜在风险认识不足，从而对自身操作行为的理性程度过分高估，做出了获取便利性而牺牲安全性的选择。具体来讲，用户的操作风险成因可以分为以下两类：

1.使用前缺乏安全意识，高估自己行为的理性程度

部分用户在使用微信支付过程中，对于各种各样可能造成自身财产损失的行为缺乏戒备和警觉，为一时方便而对未来的风险估计不足，这种心理状态导致用户过分高估自身行为的理性程度，从而造成移动支付的操作风险。

（1） 密码安全

首先，通过特定变换，如字母大小写、数字、特殊符号混用等方法，密码能够对信息等进行加密保护和安全认证。部分用户在密码设置上过于简单，或者多账号同一密码，虽然能够享受一时的方便，但在复杂的网络环境下，简单的密码容易被破解和利用，从而造成个人信息的泄露甚至财产损失。

其次，目前很多网站和App采取特定手机号码加验证码的方式进行身份验证，用户只需要输入手机号码和正确的验证码就可以登录，不法分子可能利用各种手段骗取验证码进行登录，窃取用户的账号密码和个人信息。

最后，部分用户选择不对手机设置锁屏密码，短期来看，这种行为十分便捷，却大大降低了安全效应，阻碍了密码安全屏障功能的发挥，由此产生的操作风险，对个人信息和财产安全造成了威胁。

（2） 个人信息保护

在移动支付背景下，个人信息的多向流动强化了企业对这一资源的利用效率，但同时也削弱了公民对其个人信息安全的控制能力。由于监管不力和用户自身的信息安全素养不足等原因，被非法链接、钓鱼网站或者具有迷惑性的表述等方式诱导输入了个人信息，导致个人信息泄露的情况屡见不鲜。即使是合法经营的商户，如果用户在不了解具体支付流程和原理的情况下填写个人信息或者签署相关使用条款，也会造成个人信息的无意识泄露。如支付宝年度账单事件，2018年支付宝开启了用户“个人年度账单”的查询通道，附加了一行选项——“我同意《芝麻服务协议》”，字体很小并且已默认勾选了“同意”。该份用户协议的内容涉及“信息第三方共享”的格式条款即支付宝可从第三方直接获取用户信息而不需要用户再次授权。此举侵犯到了用户的知情权，损害了用户对个人信息资源享有的权益。此外，出售自己使用过的旧手机时不彻底删除手机内信息也容易导致个人信息泄露。

（3） 资金风险

随着互联网金融的发展，多个平台推出了理财业务，余额宝、悟空理财、零钱通等新型的互联网金融理财产品相继出现，鱼龙混杂，良莠不齐，而缺乏专业知识的用户容易跟随平台的宣传，盲目追求高收益，而忽略了对风险的考虑。在这种情况下，做出投入大量资金的非理性选择。“P2P爆雷”等恶性事件的发生印证了这一点，用户资金风险的薄弱使其无法对选择合适的平台形成科学的判断，因而面临着潜在的高风险。

2.使用时对支付方式认识不足，盲目信任其安全性和私密性

移动支付依托于高科技，用户并不了解移动支付的原理和过程，被动地将移动支付的安全性寄托在开发者身上。这一盲区可能被不法分子利用，盗取个人信息和账户资金。

（1） 二维码安全

二维码是用某种特定的几何图形按一定规律在平面分布的图形，记录着文本链接文件、图片、视频以及安裝包等数据信息。在腾讯公司的网络安全报告中，仅2021年下半年，以二维码为载体的病毒木马数量每月新增约30.54万个。因此，日常生活中的“扫一扫”“连一连”“点一点”等举动其实潜伏着巨大隐患。“二维码”并不只具有单纯的付款和收款功能，一些不法分子利用这一盲区，将安装有木马病毒的二维码与普通二维码相替换，套取密码，造成了个人信息和账户资金的损失。

（2） 小额支付免密

在用户使用移动支付时，正常支付时需要输入支付密码，部分用户处于效率的考量和对平台安全的信任开通了免密支付，即一定额度以下的支付无须密码和消费者签名便可完成，这也符合用户使用移动支付时追求快捷便利的初衷。但是，2019年央视“3·15”晚会曝光的“银联默认开通银行卡小额免密免签功能，且存在被盗刷风险”表明，这种方便快捷是以牺牲用户权益为代价的。

（3） 支付对象未确认

主要是指用户未确认被支付者的真实身份，这类操作风险有时发生在冒充的亲朋好友、同事、领导、老师等“熟人”之间，有时发生在冒充的银行工作人员、医生、公检法等公务人员之间，后者常以团伙作案居多。传统的线下支付通常是面对面进行的，用户能够亲眼确认对方的情况，而支付方式转换到线上支付时这一点往往被忽略，导致用户高估了自己对于交易另一方身份的判断。根据网络违法犯罪举报平台举报受理处置情况统计，2018 年收到网民网络诈骗类有效举报 20603 条，人均损失达 24586 元。

三、对策

移动支付因具有移动性、即时性、便捷性的优点而广受好评，自诞生以来快速发展。如今，虽然这种支付方式已经普及，但是部分用户在进行移动支付时并没有意识到交易过程中因自身不当行为引发的风险，以及由此带来的不良后果。所以，在提升移动支付技术透明度，出台金融和用户个人信息保护方面的法律法规并且推进多部门协同监管的同时，培养公民的安全意识也至关重要。

一方面，用户自身要加强安全意识，加强对移动支付方式的认识，形成风险防范行为和习惯，避免因操作不当产生风险；另一方面，要开展必要的应对策略教育，通过传统媒体和新媒体平台等多种渠道进行宣传，借助典型案例是公众认识到移动支付可能带来的风险，使用户掌握在损害发生时如何最大化减少损失并且保存证据、了解如《网络安全法》等个人信息安全法律，知悉损害发生或者权益受损时的求助于申诉对象，以便用户及时地维护个人权益。

通过以上措施，促使公民形成良好的网络道德修养，自觉遵守社会公德、自觉履行网络行为规范，不去侵害他人权益，依上网法；并且能够保护自身，辨认且自觉防范套取个人信息、虚假交易等违规违法行为。由于系统本身的复杂性，移动支付操作风险的防范是一项长期的综合性工程，需要包括支付平台、通讯商以及金融监管当局等多方面主体的通力合作。本文重点从用户角度进行分析，以期形成一个规范自身操作行为的指南。

参考文献：

[1]吴晓求.互联网金融：成长的逻辑[J].财贸经济， 2015（2）：5-15.

[2]中國互联网络信息中心网站第.47 次中国互联网络发展状况统计报告[Ｒ/OL].（2021-2-3）.http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/202102/P020210203 334633480104.pdf

[3]姚雨秋，闫育芸，靳倩，等.互联网环境下移动支付发展及对策研究[J].网络安全和信息化，2021（8）：25-26.

[4]艾瑞网.2020Q2 中国第三方支付行业数据发布[EB/OL].（2020-09-30）.https：//report.iresearch.cn/report_pdf.aspx？id=3785

[5]袁圣兰，封思贤.移动支付操作风险测度问题研究[J].软科学，2018，32（3）：128-133.

[6]移动支付网.中国支付清算协会发布《2020年移动支付用户问卷调查报告》[EB/OL].（2021-01-12）.https：//www.mpaypass.com.cn/news/202101/12171328.html.

[7]谢平，刘海二.ICT、移动支付与电子货币[J].金融研究，2013（10）：1-14.

[8]程天擎.互联网金融下移动支付风险的监管研究[D].内蒙古财经大学，2022.

[9]肖成俊，许玉镇.大数据时代个人信息泄露及其多中心治理[J].内蒙古社会科学，2017，38（2）：185-192.

[10]王心禾.“支付宝账单”事件 4 个疑问：“默认勾选”错在哪？[N].检察日报，2018-1-17-5.

[11]张璇.投资者视角下P2P网贷平台风险问题研究[J].财会通讯，2020（10）：126-130.