近日，多位浦發(fā)銀行信用卡用戶反映，其名下萬事達(dá)“無價(jià)世界卡”在境外遭遇盜刷。記者獲悉，浦發(fā)銀行已向部分用戶提供補(bǔ)償措施，包括積分補(bǔ)償、消費(fèi)返還及費(fèi)用減免等。同時(shí)，浦發(fā)銀行信用卡中心也迅速回應(yīng)稱，近期已監(jiān)測(cè)到部分客戶存在未經(jīng)本人授權(quán)的異常交易，并已啟動(dòng)風(fēng)險(xiǎn)防控機(jī)制。

然而，這一事件仍引起高度關(guān)注：在移動(dòng)支付盛行、跨境消費(fèi)日益頻繁的背景下，“隔空”盜刷是如何發(fā)生的？一旦損失產(chǎn)生，責(zé)任應(yīng)如何劃分？而在磁條卡仍在海外大量使用的現(xiàn)實(shí)下，支付安全風(fēng)險(xiǎn)該如何防范？

隔空盜刷如何發(fā)生？

與國(guó)內(nèi)“刷卡必須輸入密碼”的普遍習(xí)慣不同，海外信用卡交易中，持卡人多數(shù)場(chǎng)景只需提供卡號(hào)、有效期與CVV碼（Card Verification Value）即可完成支付。缺乏密碼驗(yàn)證的流程，令信用卡信息一旦泄露，極易被復(fù)制利用。

CVV碼由發(fā)卡行通過算法生成，并印制在卡背簽名欄附近。它與卡號(hào)、有效期共同構(gòu)成離線交易的核心驗(yàn)證要素，主要用于酒店預(yù)訂、電話訂票、網(wǎng)絡(luò)購(gòu)物等無需實(shí)體卡的支付。

“盜刷的關(guān)鍵往往在于CVV碼?！闭憬贾菀晃恢Ц缎袠I(yè)技術(shù)專家對(duì)記者解釋稱，“卡號(hào)和有效期在很多支付環(huán)節(jié)可能被記錄，若再加上CVV碼，幾乎等同于拿到一張可交易的信用卡?！?/p>

記者了解到，CVV碼被盜取存在多種途徑。最常見的是數(shù)據(jù)泄露，黑客通過攻擊電商網(wǎng)站、支付平臺(tái)甚至銀行數(shù)據(jù)庫(kù)，批量竊取卡片信息。暗網(wǎng)交易是另一途徑，一整套包括卡號(hào)、有效期、CVV、姓名及地址的信息，售價(jià)僅數(shù)美元至十幾美元不等。

此外，釣魚詐騙也較為普遍，犯罪分子偽造銀行或支付平臺(tái)網(wǎng)站，通過短信或郵件誘導(dǎo)用戶輸入信用卡信息。物理偷盜同樣存在風(fēng)險(xiǎn)，一些ATM或POS機(jī)被安裝盜錄設(shè)備，同時(shí)配合針孔攝像頭偷窺CVV碼。

業(yè)內(nèi)人士分析，此次浦發(fā)“無價(jià)世界卡”事件，部分用戶近期并未使用過卡片或訪問可疑網(wǎng)站，大概率涉及某電商或支付平臺(tái)數(shù)據(jù)泄露，被黑產(chǎn)批量盜取。

值得注意的是，犯罪團(tuán)伙通常不會(huì)立即動(dòng)用盜取的信息，而是將其綁定到具備NFC功能的手機(jī)電子錢包中，等待數(shù)月后集中進(jìn)行“爆發(fā)式”盜刷，以規(guī)避風(fēng)控系統(tǒng)監(jiān)測(cè)?！斑@就是典型的‘無卡支付’盜刷?！币晃汇y行風(fēng)控人士指出。

600元如何刷出2萬元額度？

除了盜刷行為本身，此次事件還引發(fā)了一個(gè)令人費(fèi)解的現(xiàn)象：部分用戶的信用卡額度僅為數(shù)百元，但盜刷金額卻高達(dá)數(shù)萬元。

“這與海外信用卡的離線交易機(jī)制密切相關(guān)。”上述支付行業(yè)人士對(duì)記者說，在該模式下，商戶無需實(shí)時(shí)與發(fā)卡行交互即可完成交易，先行放行后，再在數(shù)天或最長(zhǎng)30天內(nèi)提交清算。這意味著，犯罪分子可以在短時(shí)間內(nèi)集中完成多筆交易，而銀行的實(shí)時(shí)額度系統(tǒng)尚未更新凍結(jié)金額，從而形成“賬面可用余額虛高”。

一位從事支付清算的技術(shù)專家向記者解釋：“離線交易模式下，商戶先消費(fèi)、后入賬，結(jié)算通?？裳舆t數(shù)天。而國(guó)內(nèi)銀行多采用‘T+1’更新額度邏輯，兩者之間存在錯(cuò)配，為盜刷提供了可乘之機(jī)?！?/p>

更復(fù)雜的是，一些銀行在境外場(chǎng)景下會(huì)自動(dòng)上調(diào)臨時(shí)額度至原授信的3至5倍，以提升用戶體驗(yàn)。這一機(jī)制在正常情況下便利了大額消費(fèi)，但在盜刷場(chǎng)景下卻被犯罪分子利用，相當(dāng)于提供了額外的“杠桿空間”。業(yè)內(nèi)人士分析，這也是為何原本額度不高的卡片，在短時(shí)間內(nèi)出現(xiàn)數(shù)萬元盜刷的原因之一。

責(zé)任如何劃分？

在信用卡盜刷案件中，責(zé)任歸屬長(zhǎng)期是爭(zhēng)議焦點(diǎn)。根據(jù)最高法2021年出臺(tái)的司法解釋，信用卡盜刷案件中舉證責(zé)任主要在銀行。北京大成（長(zhǎng)春）律師事務(wù)所律師葛仲彰認(rèn)為，如果銀行未能識(shí)別偽卡交易或未及時(shí)攔截異常消費(fèi)，即未能盡到安全保障義務(wù)，應(yīng)承擔(dān)主要賠償責(zé)任；而持卡人若存在信息泄露、延遲掛失等過錯(cuò)，則需自行承擔(dān)部分損失。

記者了解到，司法實(shí)踐中，多數(shù)案件銀行需承擔(dān)七成以上責(zé)任。例如，華北某地法院近期審理的一起案件中，持卡人王某的信用卡境外被盜刷2000元。他在第一時(shí)間凍結(jié)賬戶并報(bào)警，法院最終判定銀行未盡風(fēng)控義務(wù)，應(yīng)承擔(dān)全部賠償責(zé)任。

但跨境交易中的維權(quán)遠(yuǎn)不如國(guó)內(nèi)順暢?！皣?guó)際卡組織通常要求持卡人在規(guī)定時(shí)間內(nèi)提交包括交易憑證、溝通記錄在內(nèi)的支持文件，否則銀行無法代表客戶申請(qǐng)拒付或退款?！币晃唤鹑诼蓭熖嵝?，“時(shí)間優(yōu)先、證據(jù)為王，這是跨境維權(quán)的基本原則。”

通常來說，信用卡交易鏈條涉及發(fā)卡行、國(guó)際卡組織、收單行、商戶等多方主體。上述律師稱，法院在審理時(shí)通常認(rèn)定消費(fèi)者作為弱勢(shì)一方，銀行及相關(guān)機(jī)構(gòu)應(yīng)對(duì)外承擔(dān)賠償責(zé)任，至于各方之間的責(zé)任再通過內(nèi)部追償解決。

不過，也存在法院酌定責(zé)任的情況。若原告在卡片保管上存在明顯疏忽，法院可能判定持卡人與銀行各自承擔(dān)一定比例責(zé)任。

支付安全：磁條卡換芯片卡

從介質(zhì)層面看，磁條卡仍是盜刷高發(fā)的重要原因。業(yè)內(nèi)普遍共識(shí)是，磁條卡被盜刷的概率是芯片卡的數(shù)倍。老版萬事達(dá)卡多數(shù)僅具備磁條功能，安全性遠(yuǎn)遜于支持EMV芯片標(biāo)準(zhǔn)的卡片。

中國(guó)市場(chǎng)近年來已逐步完成芯片卡替換，但在海外，磁條卡仍然被大量使用。一旦持卡人持有的仍是磁條卡，境外交易的安全隱患就不可避免。

“從安全角度看，磁條卡確實(shí)是軟肋?！鼻笆鲋Ц缎袠I(yè)人士表示，“更換芯片卡既是資金安全的需要，也能提升支付體驗(yàn)?！?/p>

據(jù)悉，萬事達(dá)已在中國(guó)市場(chǎng)推出兼容EMV和銀聯(lián)PBOC3.0標(biāo)準(zhǔn)的新型芯片卡，實(shí)現(xiàn)“一芯雙應(yīng)用”，可同時(shí)支持境內(nèi)外使用。與此同時(shí)，卡組織的活動(dòng)與權(quán)益也已明確限定在新發(fā)芯片卡用戶范圍內(nèi)，以進(jìn)一步推動(dòng)存量磁條卡的更新?lián)Q代。

前述人士稱，對(duì)于普通持卡人而言，主動(dòng)更換芯片卡不僅能降低盜刷風(fēng)險(xiǎn)，還能參與更多權(quán)益活動(dòng)；而對(duì)于銀行和卡組織，全面淘汰磁條卡則是提升支付體系安全性的必由之路。