中國(guó)消費(fèi)者報(bào)報(bào)道（記者聶國(guó)春）人在家中坐，賬單巴西來(lái)。9月9日至11日凌晨，多位浦發(fā)銀行萬(wàn)事達(dá)無(wú)價(jià)世界信用卡（卡友俗稱“紅沙宣”）持卡人在社交平臺(tái)上反映，遭遇境外盜刷。這些盜刷交易均發(fā)生在巴西，單筆金額從數(shù)千元至數(shù)萬(wàn)元不等。
《中國(guó)消費(fèi)者報(bào)》記者調(diào)查發(fā)現(xiàn)，近年來(lái)，萬(wàn)事達(dá)卡多次出現(xiàn)境外被盜刷事件，且涉及不同銀行的不同卡種。此次浦發(fā)“紅沙宣”被批量盜刷，更是將萬(wàn)事達(dá)卡推上了風(fēng)口浪尖。到底是何種原因?qū)е驴ū槐I刷？作為連接全球商戶與發(fā)卡機(jī)構(gòu)的核心樞紐，萬(wàn)事達(dá)卡又采取了哪些措施來(lái)保障支付安全。
用戶萬(wàn)事達(dá)卡遭盜刷
9月12日，李先生通過(guò)微信推送得知，自己名下的“紅沙宣”有3筆6463.1元的入賬，分別是一筆用餐和兩筆汽車配件消費(fèi)，但并未收到短信和電話。他趕忙致電浦發(fā)信用卡客服，得知這3筆消費(fèi)均于9月10日發(fā)生在巴西?！拔覜](méi)去過(guò)巴西，而且9月的可用額度只有600多元，卻被盜刷了近兩萬(wàn)元，消費(fèi)當(dāng)天也沒(méi)有收到銀行的任何提示?！崩钕壬f(shuō)。隨后，他向客服反饋遭遇盜刷并進(jìn)行了掛失。
“紅沙宣”持卡人的盜刷賬單。消費(fèi)者供圖
此前一天，哈爾濱的楊女士也接到微信提示，告知其浦發(fā)信用卡有3筆源于巴西的交易入賬，合計(jì)近1.3萬(wàn)元。楊女士登錄APP查詢發(fā)現(xiàn)，早在9月9日，這3筆交易已經(jīng)發(fā)生，但交易當(dāng)天她并沒(méi)有收到任何短信提示。
“紅沙宣”萬(wàn)事達(dá)卡被盜刷一事在社交媒體上刷屏。李先生于9月12日在社交媒體上掃碼進(jìn)入了一個(gè)微信群，里面已經(jīng)有200余位持卡人中招。
9月13日，浦發(fā)銀行信用卡中心、萬(wàn)事達(dá)卡及萬(wàn)事網(wǎng)聯(lián)發(fā)布緊急公告，稱監(jiān)測(cè)到部分萬(wàn)事達(dá)卡發(fā)生“未經(jīng)授權(quán)的交易”，證實(shí)盜刷事件。
綜合多位持卡人的講述，記者發(fā)現(xiàn)，此次“紅沙宣”萬(wàn)事達(dá)被盜刷，除了盜刷地點(diǎn)統(tǒng)一為巴西外，在其他多個(gè)方面也存在相似之處。首先，時(shí)間高度集中，大批用戶的交易時(shí)間發(fā)生在9月9日至9月11日之間，而入賬時(shí)間在9月11日至9月12日，更有部分用戶的入賬時(shí)間完全一致。其次，作案手法類似，不法分子先嘗試盜刷一筆2元至5元的小額交易，成功后再盜刷3筆金額不超過(guò)5000巴西雷亞爾（巴西的法定貨幣）的大額消費(fèi)，總計(jì)人民幣1.9萬(wàn)余元。再次，通知明顯滯后，用戶均未收到過(guò)消費(fèi)通知，僅收到了入賬通知。
據(jù)了解，浦發(fā)銀行和萬(wàn)事達(dá)卡均在公告中明確承諾，此次事件中所有遭受盜刷的持卡人無(wú)需承擔(dān)任何損失。
技術(shù)性盜刷可能較大
事實(shí)上，早在今年2月，就有不少萬(wàn)事達(dá)卡持卡人遭遇盜刷，涉及的銀行包括浦發(fā)、工行和匯豐等。據(jù)部分匯豐銀行用戶反映，他們報(bào)名了萬(wàn)事達(dá)的境內(nèi)返現(xiàn)活動(dòng)，在活動(dòng)相關(guān)網(wǎng)頁(yè)上填寫(xiě)并提交了信用卡CVV號(hào)碼，在這之后沒(méi)多久，其信用卡就被盜刷了。
在此次大規(guī)模批量盜刷事件爆發(fā)前，另有一家銀行推出的“暗黑破壞神”主題萬(wàn)事達(dá)借記卡，也出現(xiàn)了多起用戶被盜刷的情況，不同的是，盜刷發(fā)生地點(diǎn)集中在印度尼西亞。
記者9月16日在某社交平臺(tái)看到，有郵儲(chǔ)銀行用戶發(fā)帖稱，9月15日突然收到境外交易短信確認(rèn)，登錄APP查看，發(fā)現(xiàn)有一筆1000美元的消費(fèi)因?yàn)轭~度不足失敗了，而這張萬(wàn)事達(dá)卡“只在國(guó)內(nèi)線上用過(guò)，從來(lái)沒(méi)有帶出國(guó)用過(guò)”。萬(wàn)事達(dá)卡用戶阿朱在該帖子下回復(fù)稱，9月12日遭遇了境外盜刷，交易顯示的盜刷商戶和這位郵儲(chǔ)銀行用戶一致，幸好她設(shè)置了鎖卡，交易失敗。
對(duì)于此次批量盜刷事件，浦發(fā)信用卡和萬(wàn)事達(dá)卡均未明言原因。前者稱，已第一時(shí)間啟動(dòng)應(yīng)急響應(yīng)，及時(shí)發(fā)現(xiàn)并阻斷了風(fēng)險(xiǎn)，并會(huì)將客戶用卡安全置于首位。后者表示，已與發(fā)卡銀行第一時(shí)間啟動(dòng)應(yīng)急調(diào)查，并成立專項(xiàng)小組追溯風(fēng)險(xiǎn)源，阻斷潛在風(fēng)險(xiǎn)。9月16日，萬(wàn)事達(dá)卡相關(guān)人士對(duì)記者表示，由于牽扯的方面比較多，又是跨境行為，具體原因還需要梳理，暫時(shí)沒(méi)辦法提供。
專注于數(shù)字化安全的威脅獵人撰文分析，大規(guī)模同步盜刷的前提是攻擊者已批量掌握了“紅沙宣”信用卡的關(guān)鍵信息（如卡號(hào)、有效期、CVV號(hào)碼等），具體而言，可能的信息獲取途徑有3種：一是黑客攻破了某些包含信用卡信息的數(shù)據(jù)庫(kù)，批量竊取了持卡人信用卡資料；二是黑灰產(chǎn)從業(yè)者利用釣魚(yú)鏈接、木馬程序等手段，從用戶手中獲取了信用卡信息；三是攻擊者通過(guò)非法渠道收購(gòu)了這些信用卡的信息。從盜刷手法來(lái)看，先用小額交易“探路”，再在短時(shí)間內(nèi)最大化盜刷金額，說(shuō)明盜刷團(tuán)伙摸透了銀行和卡組織的風(fēng)控規(guī)則，能夠比較精確地避開(kāi)交易驗(yàn)證和額度限制。選擇巴西作為盜刷地點(diǎn)，很可能是不法分子已在當(dāng)?shù)貥?gòu)建好了盜刷通道。由此可見(jiàn)，這是一起典型的黑灰產(chǎn)有組織攻擊：攻擊者通過(guò)非法手段獲取信用卡數(shù)據(jù)，并摸索出風(fēng)控規(guī)則后，利用境外不規(guī)范支付渠道實(shí)現(xiàn)規(guī)?；Y金盜取。
某信用卡行業(yè)分析人士對(duì)記者表示，按照當(dāng)前的情形看，有組織的技術(shù)性盜刷攻擊的可能性更大。這意味著黑客可能找到了相關(guān)信用卡產(chǎn)品安全防火墻的某個(gè)漏洞，最終造成了集中盜刷。防范這類盜刷的唯一方式，就是銀行信用卡中心和卡組織不斷強(qiáng)化自身安全防火墻，進(jìn)一步提高信用卡資金的安全性。
共建平臺(tái)避免監(jiān)控盲區(qū)
記者了解到，事件發(fā)生后，浦發(fā)銀行信用卡中心已于9月16日至9月19日對(duì)相關(guān)系統(tǒng)進(jìn)行了升級(jí)。
為保障支付安全，萬(wàn)事達(dá)卡于2014年開(kāi)始在全球支付網(wǎng)絡(luò)內(nèi)推行支付標(biāo)記化服務(wù)。該服務(wù)應(yīng)用支付標(biāo)記化技術(shù)，替代銀行卡卡號(hào)、卡片驗(yàn)證碼、支付機(jī)構(gòu)支付賬戶等敏感信息，通過(guò)設(shè)置支付標(biāo)記的交易次數(shù)、交易金額、有效期和支付渠道等約束規(guī)則，從源頭控制信息泄露和欺詐交易風(fēng)險(xiǎn)。
然而，層出不窮的盜刷事件讓公眾對(duì)萬(wàn)事達(dá)卡的支付安全產(chǎn)生懷疑。博通咨詢首席分析師王蓬博認(rèn)為，跨境支付安全薄弱環(huán)節(jié)主要表現(xiàn)在跨境風(fēng)控?cái)鄬印?yīng)急響應(yīng)遲緩，以及銀行與卡組織風(fēng)險(xiǎn)數(shù)據(jù)共享不及時(shí)等方面。王蓬博建議，卡組織作為結(jié)算方，須履行技術(shù)風(fēng)控義務(wù)，應(yīng)通過(guò)系統(tǒng)漏洞追溯、跨境風(fēng)險(xiǎn)攔截阻斷盜刷。針對(duì)跨境支付風(fēng)險(xiǎn)，銀行和卡組織應(yīng)共建全球化的風(fēng)控平臺(tái)，實(shí)時(shí)共享高風(fēng)險(xiǎn)地區(qū)和商戶信息，避免出現(xiàn)監(jiān)控盲區(qū)。
另外，作為普通持卡人，該如何防范信用卡盜刷？北京市高朋律師事務(wù)所高級(jí)合伙人郭金輝建議，持卡人在非必要時(shí)可關(guān)閉境外支付、磁條交易、免密免簽、單筆和單日高額交易功能，啟用境外、夜間、異地安全鎖功能，同時(shí)，保護(hù)好卡片信息，不在公共Wi-Fi進(jìn)行支付，在小商鋪或流動(dòng)返點(diǎn)刷卡時(shí)應(yīng)注意遮擋實(shí)體卡信息，保持高度警惕，不讓卡片遠(yuǎn)離視線。
萬(wàn)事達(dá)卡及萬(wàn)事網(wǎng)聯(lián)也提醒，持卡人要定期通過(guò)發(fā)卡行APP、短信通知或賬單核對(duì)交易（重點(diǎn)關(guān)注非本人消費(fèi)、異常小額扣款），盡快開(kāi)通每筆交易的實(shí)時(shí)提醒，線下用卡不脫離視線、線上交易保護(hù)卡號(hào)及驗(yàn)證碼安全；若發(fā)現(xiàn)未經(jīng)授權(quán)交易，立即撥打發(fā)卡行客服熱線核實(shí)情況、凍結(jié)賬戶。
官方微信公眾號(hào)
官方微博
