無現金時代的移動支付安全問題及應對措施

夏 平，楊 明

（1.廣州工商學院 計算機科學與工程系，廣東 廣州 528138；2.深圳東信海洋機械工程公司，廣東 深圳 518000）

移動支付是指通過移動終端設備（通常指手機）實現賬單在線支付的一種服務手段，是近幾年來興起的一種便捷的電子交易方式。隨著移動支付技術的普及，國內的支付寶、微信以及手機閃付已成為主流的支付產品，涉及購物、轉賬、醫療、理財及生活繳費等各個方面[1]。在2017年，無現金時代成了熱點話題，支付寶官方高調表示，“5年推動中國進入無現金時代，”事實上，國家政府和銀行金融機構也為無現金時代做出多項實際行動支持，全面推動無現金時代的發展進程。但隨著移動支付使用的普遍性，日益嚴峻的安全問題也不斷呈現在用戶的面前。移動支付已成為不法分子的重點攻擊對象，如黑客攻擊，信息泄露，電信詐騙，二維碼病毒等安全問題層出不窮，讓用戶防不勝防，直接威脅到用戶生命財產安全。

1 我國移動支付發展現狀

在移動支付領域，我國的研究起步比較晚，但隨著技術的不斷發展，用戶的規模得到了迅速的擴張。根據中國互聯網絡信息中心發布的權威數據統計，截至2017年12月，我國網上支付用戶規模達到5.31億，其中手機支付用戶數量為5.27億，占比高達99.2%。由于移動支付需要多方技術以及網絡環境的協助，容易受到一系列的入侵和攻擊，導致信息泄露乃至財產損失。通過對2017年移動支付的大數據分析，我國的移動支付呈現3個主要的特征：（1）移動支付的使用領域不斷拓寬，滲透到工作和生活的方方面面。（2）在線電子交易逐步向農村地區和老齡網民輻射，用戶使用線下線上交易的數量持續增長，農村地區移動支付于2017年底統計的數據比2016年底增長了15.4%。（3）傳統的支付的技術逐步被高新技術替代，指紋支付以及面部識別支付等生物識別技術得到了快速的發展。

中國銀聯發布的《2017移動互聯網支付安全調查報告》顯示，在2017年，短信木馬、社交賬號盜用，病毒等高發的詐騙手段呈下降趨勢，誘掃二維碼欺詐受騙比例明顯增長，尤其是防范意識薄弱的中老年及90后群體遭受的網絡詐騙比例較高，須更加關注支付安全。移動支付正在替代傳統的交易方式，具有無限的發展前景，但越來越多的安全問題已經嚴重制約其發展的步伐。因此，針對移動支付的安全性方案的研究是迫在眉睫的。

2 移動支付的安全風險

移動支付主要包括移動終端、支付賬戶、第三方支付平臺、網絡環境、銀行機構等基本要素，其安全風險主要體現在3個方面：移動終端設備的安全風險；移動支付環境的安全風險；個人信息泄露問題。

2.1 移動終端設備的安全風險

移動終端設備是進行移動支付的硬件載體，目前絕大多數用戶都是采用智能手機進行支付操作，因此，硬件設備的安全性在很大程度上決定了移動支付的安全性。大眾化的智能手機其本身硬件系統并未采用加密芯片和底層的安全防護功能，容易導致移動支付APP出現安全風險。在智能手機的使用上，有部分用戶獲得更高的操作權限和更好的用戶交互體驗，進行越獄和刷機操作，這有可能破壞手機系統的安全運行機制，出現系統漏洞，遭受到惡意代碼的攻擊。另外，手機丟失也會給用戶造成巨大的影響，由于手機都會綁定銀行卡、信用卡來實現移動支付，當手機丟失后，極有可能出現被人冒用的安全風險。

2.2 移動支付環境的安全風險

隨著無線通信網絡的普遍應用，大型商場、酒店、飯店以及地鐵公交等公共場所都提供了免費WiFi，部分用戶為了節省流量會選擇使用它。一些公共場所的免費WiFi可能就是釣魚陷阱，如果連接到這種“危險WiFi”進行移動支付的話，將直接導致用戶帳戶的資金損失。正是因為無線網絡的便利性、開放性，以及一般數據傳輸都是明文傳輸等原因，非法分子可以利用搭線竊聽來獲取用戶的隱私數據以及相關支付信息。其次，移動支付網絡平臺還可能受到拒絕服務攻擊的安全風險，導致支付平臺無法處理和響應用戶的服務請求，影響用戶的支付行為。

2.3 個人信息泄露的安全風險

移動支付的用戶群體的年輕化及老齡化的趨勢日益明顯，部分用戶缺乏基本的網絡安全防范意識，容易遭受到電信詐騙、釣魚網站詐騙、偽基站短信詐騙，不明木馬鏈接以及賬號盜用等常用手段的威脅，導致個人隱私泄露，從而影響到移動支付流程整體的安全性[2]。在移動支付環節，口令+驗證碼的方式使用普遍，為了支付的快捷性，甚至出現了小額免密支付，或者6位數字支付手段，這樣的弱口令模式極容易被攻擊者實施口令破解，造成賬戶和密碼的盜用，從而造成不可彌補的損失。

3 移動支付的安全應對措施

3.1 提高大眾用戶的安全意識

網絡環境具備復雜性、靈活性、多樣性的特點，容易出現惡意攻擊和信息泄露等風險。用戶在進行移動支付過程中，針對社會工程學的攻擊，應提高警惕，保管好賬號、支付密碼、驗證碼、數字證書、動態口令等隱私數據，防范因信息泄露出現的安全威脅[3]。用戶作為移動支付的重要參與者，需不斷提高自身的安全意識和辨別能力。尤其是提供在線電子交易的平臺，可以對用戶進行基本的移動支付的安全培訓，并為用戶提供及時有效的客戶安全服務與指導，第一時間幫助用戶解決問題，規避不必要的風險要素。

3.2 加強移動終端設備本身的安全

移動終端設備是保障移動支付流程安全的重要部分，可在硬件和軟件兩個層次上進行安全策略的設計。在硬件系統上，可以添加加密芯片保障核心數據的保密性和完整性；具備內置指紋傳感器模塊的開啟該功能實現指紋驗證和支付。在軟件系統上，增加層次級的安全協議，安裝防護級的應用軟件，對病毒和攻擊進行有效預警和防范，保障移動支付數據安全。盡量從官方應用中心下載APP應用軟件，在隱私數據的訪問上，堅持最小化原則，嚴格限制其他程序的隱私訪問權限。

3.3 基于終端認證+生物識別技術的雙重身份驗證策略

在移動支付系統的用戶身份驗證上，使用比較普遍的就是口令+驗證碼的組合方式，交易時采用數字密碼方式支付。從安全角度來講，這種驗證和支付方式是非常不安全的，容易被破解。為了進一步保障移動支付的安全性，可在口令驗證的基礎上，實施基于終端認證+生物識別技術的雙重身份驗證模式。在進行支付交易時，首先添加對終端設備的認證模式，并記錄終端設備的登錄認證記錄，保障交易設備的不可否認性和合法性。目前，一般的智能手機都具備指紋識別傳感器，可以在身份認證和支付時使用指紋操作，大大節約了時間，也提高了交易的安全級別。另外，生物識別技術中的虹膜識別技術也是極具前景的身份認證方式，被行業中認為是最安全的驗證技術。由于人體眼睛中虹膜細節特征的唯一性，通過虹膜技術進行用戶身份識別，不僅能提高支付的速度，更能保障合法用戶的賬戶安全。不過虹膜識別技術目前主要應用于門禁、保險箱或高保密要求場所，如果要應用到智能手機設備上，相應的硬件成本大幅增加，這也是該技術在移動支付領域難以廣泛應用的發展瓶頸。

3.4 提供賬戶資金安全保障機制

移動支付的安全性直接決定了用戶資金賬戶的安全性，第三方支付平臺和銀行機構需建立用戶賬戶資金的安全保障機制，提供諸如賬戶安全系數檢測，異常賬戶預警，盜用賬戶資金及時止損、賬戶安全保險及風險賠付、欺詐資金與貨物攔截等措施，努力保障用戶的賬戶資金安全，并逐步降低用戶自行承擔交易風險的比例。

3.5 加強行業法律法規的監管

規范化、標準化的行業法律法規是移動支付安全性的重要基礎保障，需要國家、網絡運營商、銀行機構以及第三方支付平臺協同合作，大力推動移動支付的發展。其中，從國家政府層面上來說，應加快我國網絡安全領域的相關法律法規的制定與實施，建立完善的移動支付安全的監管體系，為移動支付提供基礎的法律保障。只有當網絡安全相關法律體系逐步完善，用戶的安全體驗才會明顯提升。從網絡運營商的層面上，應為移動支付提供可靠、高效、保密的網絡運行環境，對通信信道進行加密和安全防護，防止信息遭到竊聽或截獲。從銀行和第三方支付方層面上，建立移動支付行業統一化的技術規范勢在必行，致力于打造安全系數高的在線交易平臺。

4 結語

隨著移動支付技術的不斷升級和完善，無現金時代終將來臨。然而移動支付的安全問題是現階段必須面對和亟待解決的技術難點，需要多方共同努力，為移動支付探索更安全、更高效、更穩定、更和諧的可持續發展之路。

[參考文獻]

[1]李玲萱.以微信支付為例淺析無現金時代移動支付安全現狀及保護策略[J].熱點聚焦，2017（40）：14-15.

[2]李善斌.移動支付安全風險及防范措施分析[J].支付清算，2015（5）：24-26.

[3]劉瑩瑩.移動支付安全問題研究[J].網絡空間安全，2017（8）：16-18.