刷臉支付引發的安全問題及防控對策

關鍵詞 刷臉支付 安全問題 防控對策

作者簡介：呂浩，中國人民公安大學2018級碩士研究生，研究方向：治安管理。

中圖分類號：D920.4 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?文獻標識碼：A ? ? ? ? ? ?? ? ? ? ? ?DOI：10.19387/j.cnki.1009-0592.2020.05.109

李克強總理在第十二屆全國人大第五次會議所作的政府工作報告中首次提到“人工智能”，指出要加快培育壯大包括人工智能在內的新興產業。這極大地推動了傳統產業優化升級，創新出了許多新型商業模式，其中“刷臉支付”就是在這一背景下發展壯大的一種新興支付方式，其特有的便捷性、智能性、衛生性的特點潛移默化的改變著人們的生產生活方式，但同時作為一種新興事物，刷臉支付行業的高速發展不可避免的帶來一些問題，其中甚至涉及到生物安全。在全國抗擊新冠肺炎疫情的背景下，習近平總書記在中央全面深化改革委員會第十二次會議上的講話強調要把生物安全上升到國家安全的高度，加快構建國家生物安全法律法規體系、制度保障體系。刷臉支付所涉及的人臉信息屬于重要的生物信息，在這一背景下亟需探索出有效的防控對策以維護國家安全和社會治安穩定，促進社會經濟和諧健康發展。

一、刷臉支付的原理及發展現狀

（一）刷臉支付的原理

刷臉支付，是一款基于人臉識別的支付方式，其基本原理是將通過終端硬件采集的人臉信息與云端存儲的信息進行比對，從而判斷每個人的身份，之后將消費者的面部信息與支付系統之間構建關聯，完成認證與支付。

（二）刷臉支付的發展

2013年7月，芬蘭Uniqul公司推出了史上第一款基于臉部識別系統的支付平臺，開創了刷臉支付的先河。2017年2月21日，刷臉支付被權威學術雜志《麻省理工技術評論》（MIT Technology Review）評為“2017年全球十大突破性技術”。2017年7月8日，國務院在《關于印發新一代人工智能發展規劃的通知》中明確指出要搶抓人工智能發展的重大戰略機遇，構建我國人工智能的先發攻勢，加快創建一個科技強國。作為移動支付和人工智能的產物，刷臉支付毫無疑問受到了國家的大力支持。2018年12月支付寶推出刷臉設備“蜻蜓”，2019年3月微信推出刷臉設備“青蛙”，并相繼在全國幾百家商戶落地，滲透到零售商超、餐飲等生活主要場景，行業呈高速增長態勢。在2019年10月20日的第六屆世界互聯網大會論壇上，中國銀聯正式發布刷臉支付設備“刷臉付”，“國家隊”正式入局刷臉支付領域。根據艾媒咨詢發布的數據顯示，預計2022年中國刷臉支付用戶規模將突破7.6億人。

二、刷臉支付引發的安全問題及管理現狀

（一）刷臉支付帶來的問題

1.財產安全問題

刷臉支付可能引發對公民財產的侵犯是顯而易見的。它主要體現在兩個方面，一種是對公民現有財產的直接侵犯，另一種是潛在的對公民未來財產的威脅。

對公民現有財產的侵犯形式主要是假體攻擊以及趁人不備盜刷。其中的假體攻擊包括通過AI換臉技術盜刷以及通過高清3D頭部模型與照片盜刷等。如果說其中的高清3D仿真面具對于普通人來說還算遙不可及，那日趨成熟的AI換臉技術就給日常生活中的不法分子提供了可乘之機。換臉應用“ZAO”的爆紅，讓人質疑AI換臉是否會讓刷臉支付變得不安全。根據支付寶的回應“即便出現賬戶被冒用的極小概率事件，支付寶也會通過保險公司進行全額賠付”能夠看出，雖然是小概率事件，而且支付寶公司會對損失進行賠償，但確實存在公民賬戶被盜刷的情況。據了解，支付寶的人臉識別設備的準確率高達99%以上，可見，即使是最為先進的人臉設備同樣也存在著一定的漏洞，而這個漏洞是否會被利用取決于黑客對于財產價值的評估。

而對于公民未來財產的威脅則在公民信息泄漏之后的不可逆性上體現出來，人臉信息與數字密碼、二維碼等傳統密碼的最大的區別就在于泄露之后的不可逆性，傳統密碼泄露之后可以通過更改數字組合，更新二維碼等方式加以挽救，而人臉這種生物信息的唯一性就導致了信息一旦泄露，就是終身泄露，會將用戶個人財產安全置于更大的不確定性中，進而引發一系列風險。

2.信息安全問題

刷臉支付首先需要在互聯網環境下對用戶的生物信息進行采集，形成特征數據庫，服務器端存儲的用戶特征數據庫面臨著泄露的風險，用戶的信息安全問題日益顯露。刷臉支付所導致的對于公民信息安全的侵犯主要體現在以下兩點：一是公民信息被買賣;二是公民信息被黑客竊取，進而引發一系列的風險。

買賣公民信息的問題在互聯網時代層出不窮，“17萬人臉數據遭公開售賣”等類似的新聞不斷被媒體爆出，而當事人卻對自己的個人信息被買賣一事一無所知。除了買賣公民信息以外，還有黑客對于刷臉支付所采集信息的竊取。一張人臉照片就能獲利幾元錢，在利益的驅使下，更多黑客將目光瞄向其中。黑客可以將信息用于任何可以獲利的地方，甚至公之于眾，導致公民個人信息等被公開，造成重大損失。而鑒于人臉特征這種生物信息的唯一性，一旦泄露就是不可逆的，會永久對公民造成侵害。

3.生物安全問題

在全國抗擊新冠肺炎疫情的背景下，生物安全的重要性已經被提升到了前所未有的新高度。刷臉支付所采集的人臉信息屬于重要的生物信息，而生物信息數據是生物安全的基礎。由于目前我國的立法對于刷臉支付中人臉信息收集主體的監管沒有明文規定，其管理更多的是依靠支付服務商的自律或者支付業協會等的行業自律，所以在運營過程中難免會出現人臉信息的違法采集以及采集之后的濫用、泄露以及不當存儲等問題，這對我國的生物安全構成了威脅。

（二）管理現狀

我國雖然已于2019年正式啟動生物安全法的立法進程，但由于之前對之產生的風險并沒有如西方國家那樣引起足夠的重視，所以對于刷臉支付這種頗具風險的支付方式，在具體的硬件標準以及信息收藏存儲等方面，其法律規制、應用規范、技術標準等還處在擬定階段，在法律和標準制定完成之前，其治理更多的是依靠支付服務商的自律或者支付業協會等的行業自律，公安機關對刷臉支付的治理主要集中在其所引起的財產安全和信息泄露等治安問題。

三、國外刷臉支付管理經驗借鑒

刷臉支付獲取的人臉信息屬于生物識別信息的一類，而生物識別信息的管理是世界范圍內的新問題。目前國際上對于生物識別信息的保護主要是立法保護，最普遍的一種是將生物識別信息劃歸為籠統的個人信息來進行保護，比如歐盟的《通用數據保護條例》、巴西的《通用數據保護法》等，它們在統一的立法中對生物識別數據進行保護;另一種是出臺專門的保護法案進行保護，但是目前還只是存在美國的州層面，比如伊利諾伊州的《生物信息隱私法》、華盛頓特區的《生物識別信息法》等。從總體上看， 國外的生物識別信息安全法律法規突出風險防范，覆蓋面廣，責任劃分明確，可執行性強，對我國相關法律法規的制定有較強的參考價值。

除了立法保護之外，國際社會還通過各類國際協調機制（如世界衛生組織、《生物多樣性公約》締約方會議等）實施信息保密控制、使用各類信息技術手段， 在信息公開、獲取、使用方面設立防止生物識別信息濫用的多重防范機制。

四、防控對策

（一）提高公民的法律意識和安全意識

刷臉支付的簡易性、智能性、衛生性的特點符合未來市場的發展需求，受到越來越多用戶的青睞，同時刷臉支付運營過程中會發生的一些問題開始逐步顯現出來，這對于公民的法律意識跟安全意識提出了更高的要求。公安機關應該加強宣傳工作，通過電視廣播、橫幅標語等傳統形式以及微信推送、有獎問答等新型方式進行宣傳。其宣傳的內容主要包括兩部分，一是對不法分子的犯罪方式進行公開報道，并及時公布處理結果，以震懾不法分子;二是向社會公布群眾中識破犯罪分子犯罪方式的案例，通過樹立典型的形式帶動公民法律意識、安全意識的強化。

（二）完善人臉信息采集機制

目前的人臉信息采集機制存在的問題主要體現在生物識別技術不完善，操作者的專業化水平不足以及身份信息的采集、存儲標準不明確等方面。針對這些問題，各部門應各盡其職，加強合作，通過深入實地調研以及召開專門的研討會等方式，盡快制定出刷臉支付行業統一的應用規范、技術標準;通過加強培訓、定期考核等方式保證操作者專業化水平的提升;通過多要素核對用戶身份信息以及簽訂保密協議等措施對現有的人臉信息采集機制進行完善，以使刷臉支付行業不斷走上正軌。

（三）加大公安機關打擊力度

針對刷臉支付可能引發的問題，公安機關應該通過多部門聯合預測預警、嚴厲打擊違法犯罪等方式將其制止在萌芽期。公安機關可以從以下幾方面入手：一是通過與相關部門、科技公司等的合作對于各類采用刷臉支付的場所建立大數據預測預警以及常態化監控機制，將未經用戶允許采集用戶信息以及各類侵財行為掐滅在萌芽期，掌握打擊涉刷臉支付違法犯罪的主動權;二是對已認定為違法犯罪的行為，如假體攻擊、未經允許私自采集公民人臉信息等，要加強打擊力度，在法律規定的范圍內從重處罰以震懾違法犯罪分子。

（四）加快立法規范、監管步伐

作為以終端為基礎，且較為復雜的支付技術，刷臉支付的監管方涉及較多，央行、公安部、工信部分別在支付、公民信息財產安全、終端信息安全方面占據主導地位。央行作為支付行業的監管者，應加快出臺包括人臉識別在內的生物識別技術在支付領域的應用規范、技術標準;公安部應加強對公民信息安全保護，嚴厲打擊通過刷臉支付侵犯公民權利的行為;工信部應督促刷臉支付行業的終端設備不斷改造升級，以提高刷臉支付設備的安全性。因此，亟需在《中華人民共和國個人信息保護法》以及正在擬議研究的生物安全法草案中，對各監管方職責劃分以及生物信息的收集、存儲等問題進行探討、規范，制定、改良相關的法律制度，統籌各方力量，加強對刷臉支付行業的監管。

注釋：

艾媒“數”說刷臉支付：2022年用戶將超7.6億，刷臉產業帶動50萬人就業[EB/OL].https：//www.iimedia.cn/c460/66880.html.

參考文獻：

[1]趙淑鈺.生物識別信息法律規制的國際經驗與啟示[J].中國信息安全，2019（11）：37-39.

[2]陳宗波.我國生物信息安全法律規制[J].社會科學家，2019（1）：96-103.