非实名手机用户侵入他人基金账户 翼支付被质疑存在安全漏洞

　　

 

　　

　　“我在嘉实基金的账户突然进不去了!几经投诉才发现,我留在嘉实基金的对账邮箱已被篡改!我的基金账户已被他人操作!”张龙生(化名)满脸惊疑地向《法制日报》记者讲述他的遭遇。

　　“没有密码,也能操作你的账户?”记者问。

　　“通过翼支付!”

　　“这不难查清啊。变更嘉实基金对账邮箱需要验证身份或通知客户,注册翼支付需要身份验证。这是常识啊。”

　　“问题就出在这儿。骗子注册翼支付的手机号不是实名的,而嘉实基金的系统对翼支付数据是不核实的。”

　　一家是大名鼎鼎的嘉实基金,一家是中国电信的支付平台翼支付,居然让骗子如此轻而易举地进入客户基金账户。漏洞何在?

　　基金账户突遭变更

　　3月1日,张龙生突然想起,有段时间没收到自己购买的嘉实基金的对账单,便打开嘉实基金官网登录查看,不想已无法进入自己实名注册的账户。

　　张龙生赶紧拨打嘉实基金的客服电话询问,被告知:该账户已于今年1月更换联系手机号,并取得高级实名认证,此后的对账单信息,已发至用新手机号码关联注册的189邮箱。

　　张龙生同时了解到,该手机号码开通了第三方支付功能——电信翼支付业务,从1月25日至1月29日,通过翼支付连续操作3笔交易,虽然最大一笔金额仅为30元,但足以令张龙生惊出一身冷汗。

　　在这份交易明细中,销售机构显示为:直销中心。张龙生随即致电翼支付客服核实,“直销中心”确实就是翼支付。客服查询的结果是:该移动用户是于2016年1月18日开通的翼支付。

　　更令张龙生惊诧不已的是,他在报警后查询得知,该手机号码竟然是135开头的河南郑州的移动用户,而且为非实名注册。不过,因数额较小,警方未予立案。

　　心有余悸的张龙生立即挂失银行卡并冻结基金。令他不解的是:作为一家国内知名的基金公司,是什么样的漏洞,让这个神秘的电话号码,轻而易举地就更改了自己的账户信息并进行交易?

　　代销直联权限很大

　　3月2日,在北京的嘉实基金办公大楼,记者随张龙生一起见到客服部的吴女士。

　　翼支付是如何关联到嘉实基金,并能在嘉实的系统内进行交易呢?吴女士解释称:“翼支付属于嘉实的‘代销直联’机构,我们是平台之间的合作关系。这种关系使得他们的权限,甚至比作为代销机构的银行还要稍大一些。即他们使用嘉实系统,传来的数据我们只能被动接收。”

　　按照这个解释,只要开通了翼支付,就可以操作嘉实基金账户。那么,骗子何以能操作张龙生的账户呢?

　　吴女士说:“可能是(骗子)从哪儿得到了张先生的身份证信息,用张先生的身份信息开通了翼支付,并关联了嘉实基金账户。”

　　张龙生似有所悟:“因为翼支付传到嘉实基金的数据,嘉实基金不再核实,导致骗子很容易变更了对账单邮箱。我的账户信息就这样泄露了。”

　　吴女士宽慰张龙生说:“他即便看到您的基金账户资料,也只是交易信息。但看不到密码,看不到其他信息。”

　　骗子曾在5天内连续利用张龙生的账户进行3笔小额交易,动机是什么?张龙生说:“我推测他是想先激活我的账户,再通过我的身份证信息,利用翼支付平台,把我的银行卡换掉,最终达到将我账户里的资金转走的目的。”

　　既然嘉实基金对翼支付传过来的数据“被动接收”,那么,风险把关的源头就只能靠翼支付了。一个非实名的手机号码是怎样在翼支付注册成功的?

　　手机号码随意注册

　　张龙生从翼支付客服中心了解到,移动、联通、电信手机号码都可以开通翼支付账户。只不过,电信号码享受的优惠有所不同。翼支付用户分为非实名认证和实名认证两种。前者只要有一个手机号码就可以。

　　记者随后采访了天翼电子商务有限公司(即翼支付)监管法律部相关负责人。

　　这名负责人介绍说:“不实名认证用户,既没有关联银行卡,也没有关联身份证。用户可以充值,也可以把钱取出来,只有这一个功能,而且额度很小,也就几百元钱。高级实名认证用户才可以关联基金账户。关联过程中,需要验证银行卡信息、银行卡密码以及身份证信息。手机在用户手上,他可以收到验证码。”

　　按照这个解释,能够与张龙生基金账户绑定的翼支付,一定是经过多重验证的。翼支付法律部这名负责人反问:“有了如此严密的验证,凭什么要求支付平台负责任?负不法分子盗窃身份证信息、银行卡密码的责任?也就是说,用户没有保护好自己的银行卡密码,与平台有关系吗?嘉实基金这个用户的遭遇,是很典型的用户身份信息泄露造成的。被盗刷并非是翼支付一家遇到的问题,而是不断发展中的整个互联网金融业都必须面临的挑战。”

　　对于这种解释,张龙生并不认账:“非实名的手机号码成功注册了翼支付,但是如何取得了高级用户认证的,作为管理方应该有核实的义务。如果大家都用盗用的身份信息开通,还有安全可言吗?”

　　翼支付盗刷维权群

　　同样质疑翼支付的,显然不止张龙生一个人。

　　记者调查得知,QQ上有一个“翼支付被盗维权群”,群内成员达400多人。

　　这些“被翼支付盗刷”者中,损失少则几十元、数百元,多则上万元。网友木木便是其中之一,也是损失最为惨重的——总计达35100元。

　　来自四川成都的木木告诉记者,从今年2月16日到22日,他的银行卡被盗刷11笔,分别涉及光大、招商、农业3家银行。

　　光大、招商两张银行卡被盗刷后,木木赶紧把款转到3个月前才开通农行卡上,因为这张卡网银、手机银行等功能都没有开通。

　　可万万没想到,木木3月5日去农行取钱时发现,农行卡再次被盗刷。他并没有翼支付账户,但是经查询,钱都是翼支付划出去的,最终去向都是一家名为“浙江开心果网络科技有限公司”的企业。这家公司给出的解释是游戏充值,并且给了他一个充值的手机号,但那个号码一直处于关机状态。

　　发稿前,张龙生给记者打来电话说,那个让他心惊胆寒的非实名手机号码注册的翼支付账户,已在3月8日被翼支付平台注销了。但该账户何以通过高级实名身份验证、账户如何开通并关联到嘉实基金等疑问,都没有得到翼支付的答复。

　　专家观点

　　张龙生(化名)从来没有注册过翼支付。一个非实名的手机号却能以张龙生的名义注册翼支付并操作张龙生的嘉实基金账户。这一事件表明,翼支付和嘉实基金都没有严格落实实名制审核责任。专家指出,双方都负有不可推卸的法律责任。倘若用户在现实中发生损失,是完全可以向其索赔的。

　　实名认证是法定义务

　　知名IT律师、中国电子商务研究中心研究员赵占领认为,我国2010年颁布施行的《非金融机构支付服务管理办法》(以下简称央行2号文件)已明确规定,第三方支付工具要对用户进行实名认证。翼支付作为第三方支付平台,具有用户审核责任。如果翼支付在用户身份信息审核过程中,没有尽到审核义务,就应当承担责任。

　　而基金公司方面,仅仅是因为二者是合作关系,对翼支付提供的信息,在未经严格核实的情况下,就直接覆盖原有信息,说明审核过程可能也存在漏洞。如果索赔,翼支付和嘉实基金均有过错,都应负相应的法律责任。

　　赵占岭进一步分析,不管是电信、移动还是联通,只要有手机号就可以开通翼支付账户,这个风险很大。实名认证,不能只要求提供身份证号码。严格意义上讲,如果本人不到营业厅现场开通翼支付,需要认证用户提供一张手持身份证的照片,以核实持有人和身份证上的人是否一致。这样才算尽到核实义务。

　　霸王条款亟待清理

　　中国互联网协会研究中心秘书长胡钢认为,基金公司与客户之间,是有合同关系的,在基金的账户系统被他人非法入侵后,基金公司有义务配合客户,从基金公司的网络日志中,调取更改客户信息的翼支付账户的IP地址、操作记录等。按照公安部的规定,这些IP地址至少要留存60天。

　　虽然这起事件中,尚未出现盗用情况,没有造成很严重的后果,但至少已经构成一个网络安全事件,因为已经侵入到用户的计算机网络系统,很可能是一个系列犯罪链条中的重要一环。

　　胡钢强调,金融账户的实名制和网络实名制,都是我国法定的实名制。目前看来,在技术、管理和实际操作中,还存在一些漏洞。

　　无论是对金融机构还是支付机构,目前所应承担的法律责任,还没有单独、明确、特定的规定,只是承担合同法意义上的过错责任或违约责任。而现在,他们的在线合同大量充斥着格式条款,就一个意思:概不负责。这就是金融消费者目前面临的主要困境。

　　胡钢说,去年下半年,国务院办公厅专门发文,要求加强金融消费者权益保护,这是第一次在中央层面的文件中,明确提出金融消费者的概念。今年两会期间,有代表提出要尽快修改商业银行法,目标都是要以保护金融消费者的权益为出发点和落脚点。

　　法律依据日臻完善

　　中国电子商务协会政策法律委员会副主任阿拉木斯指出,自央行2号文件颁布以来,对第三方支付平台的相关监管办法和细则,已经出了10部左右,对账户实名制的要求、出现信息安全问题的赔偿责任等,都有很详细的规定。

　　他说,翼支付是否应负法律责任,可以对照这些规章中各种需要履行义务的要求。至少在落实账户实名制方面,肯定存在过错,应当承担相应的法律责任。事实上,目前所有的网络使用者,只要涉及开户,都有实名制的要求,何况是和支付有关,对这种实名制的要求就更高。如果没有,就肯定存在过错。

　　阿拉木斯认为,在这方面,目前的行业监管和部门规章整体上已经比较成熟,唯一的问题就是缺一些专门性的法律,但基本上不影响诉讼。而且,目前正在起草的电子商务法,预计一年以后就可以出台,这部法律将把电子支付中的问题,作为一个重点上升到法律层面。届时,法律依据会更明确,出现的这些问题也会更容易解决。

 

　

 

 

(作者：余瀛波，来源：法制日报)