當(dāng)銀行人臉識(shí)別系統(tǒng)被攻破

李紅（化名）萬(wàn)萬(wàn)沒(méi)想到，詐騙人員從她的交通銀行卡偷走42.9萬(wàn)元，如入無(wú)人之境。

要想從交通銀行卡中轉(zhuǎn)賬，需要用戶在手機(jī)銀行App上進(jìn)行人臉識(shí)別，并進(jìn)行短信驗(yàn)證。李紅陷入了詐騙分子的圈套，她的手機(jī)短信被攔截，手機(jī)號(hào)被設(shè)置了呼叫轉(zhuǎn)移，令她的驗(yàn)證碼落入他人手中，且無(wú)法接聽(tīng)銀行的確認(rèn)電話。

銀行系統(tǒng)后臺(tái)顯示，在進(jìn)行密碼重置和大額轉(zhuǎn)賬時(shí)，“李紅”進(jìn)行了6次人臉識(shí)別比對(duì)，均顯示“活檢成功”。但那幾次人臉識(shí)別并不是身在北京的李紅本人操作。李紅懷疑交通銀行人臉識(shí)別系統(tǒng)的安全性，并以“借記卡糾紛”為由將交通銀行告上法庭，要求賠償。

2022年6月30日，北京市豐臺(tái)區(qū)人民法院一審駁回了李紅的全部訴求。她準(zhǔn)備繼續(xù)上訴。

遭遇騙局

從接通電話那刻起，李紅就陷入“協(xié)助破案”的迷局中。那是2021年6月19日上午10：30，電話那頭自稱“北京市公安局戶政科陳杰警官”的人告訴李紅，她的護(hù)照此前在哈爾濱涉嫌非法入境，讓她向哈爾濱市公安局報(bào)案。對(duì)方輕易地報(bào)出了李紅的身份證號(hào)，這令她開(kāi)始相信電話那頭的“警官”。

李紅被轉(zhuǎn)接給哈爾濱市公安局的“劉警官”。對(duì)方告訴她，她涉嫌“李燕反洗錢案”，并讓她登錄一個(gè)網(wǎng)站查看“公文”。李紅用手機(jī)登錄對(duì)方提供的網(wǎng)站后，發(fā)現(xiàn)在一張藍(lán)底的“通緝公告”上，印著自己的身份證照片、身份證號(hào)等戶籍信息。

這令她陷入恐慌。接下來(lái)，她對(duì)“警官”的指揮百依百順。按照指示，她從網(wǎng)站下載了“公安防護(hù)”軟件和視頻會(huì)議軟件“矚目”。“公安防護(hù)”是一款詐騙人員常用的“李鬼”手機(jī)軟件，其設(shè)計(jì)模仿“國(guó)家反詐中心”，如果受害者在里面輸入銀行卡和密碼，詐騙人員就可在后臺(tái)獲取這些信息。

而“矚目”雖然是普通的視頻會(huì)議軟件，但提供共享屏幕功能。在“劉警官”的要求下，李紅通過(guò)“矚目”，向?qū)Ψ焦蚕砹俗约旱氖謾C(jī)屏幕，令其掌握了她安裝的App種類信息，對(duì)方還通過(guò)這項(xiàng)功能遠(yuǎn)程操控她的手機(jī)，令她的手機(jī)號(hào)設(shè)置了呼叫轉(zhuǎn)移，無(wú)法接收短信和電話。

最容易被忽略的是“露臉”。對(duì)方告訴李紅，為了驗(yàn)證她是本人操作，她要通過(guò)“矚目”開(kāi)啟會(huì)議模式，于是，李紅的人臉信息輕易暴露在對(duì)方面前。這也成為對(duì)方實(shí)施詐騙的關(guān)鍵一環(huán)。

李紅始終沒(méi)能掛斷電話，“劉警官”故意令她與外界隔絕。下午13：46，按照要求，李紅趕到交通銀行北京長(zhǎng)辛店支行，開(kāi)設(shè)了一張借記卡。銀行開(kāi)卡記錄顯示，李紅預(yù)留了自己的手機(jī)號(hào)，并允許借記卡通過(guò)“網(wǎng)上銀行、手機(jī)銀行、自助設(shè)備”三種方式轉(zhuǎn)賬，也允許這張卡進(jìn)行境外取現(xiàn)和消費(fèi)，但在其他功能中，她選擇了“小額免密免簽不開(kāi)通”。這意味著，當(dāng)她進(jìn)行5萬(wàn)元以內(nèi)的轉(zhuǎn)賬時(shí)，仍需要驗(yàn)證。此外，李紅還設(shè)置了轉(zhuǎn)賬限額，每日只能累計(jì)轉(zhuǎn)賬5萬(wàn)元。

在辦理借記卡的過(guò)程中，交通銀行向李紅發(fā)放《北京市公安局防范電信詐騙安全提示單》。這份提示單中，載明了業(yè)務(wù)類型為“開(kāi)通網(wǎng)銀或手機(jī)銀行”，并提示她可能存在有冒充公檢法的人員，以打電話的方式告知她涉及案件，要求她向?qū)Ψ教峁┑馁~號(hào)轉(zhuǎn)賬，或是告知網(wǎng)銀密碼。李紅在這份提示單上簽了字。

李紅剛剛辦好借記卡，這張卡就被詐騙人員掌控了。銀行后臺(tái)顯示，當(dāng)天13：51，即李紅開(kāi)卡5分鐘后，就有詐騙人員通過(guò)人臉識(shí)別驗(yàn)證，重置了李紅的用戶名和密碼，登錄了她的手機(jī)銀行。但李紅對(duì)此并不知情，她正按照“劉警官”的要求，為了“清查個(gè)人財(cái)產(chǎn)”，向卡內(nèi)轉(zhuǎn)入所有積蓄。

詐騙人員掌握了李紅的“人臉識(shí)別+動(dòng)態(tài)密碼”后，通過(guò)修改密碼，登錄了她的手機(jī)銀行，此后便如入無(wú)人之境，即使李紅設(shè)置了每日5萬(wàn)元轉(zhuǎn)賬限額，也在詐騙人員登錄后被輕易修改，之后每筆大額轉(zhuǎn)賬也都通過(guò)“人臉識(shí)別+動(dòng)態(tài)密碼”驗(yàn)證通過(guò)。

交通銀行北京長(zhǎng)辛店支行在法庭上回應(yīng)稱，“交易密碼、動(dòng)態(tài)密碼以及輔助人臉識(shí)別的客戶鑒別模式”符合監(jiān)管要求，并且在李紅轉(zhuǎn)賬過(guò)程中，銀行對(duì)她進(jìn)行了風(fēng)險(xiǎn)提示，包括通過(guò)運(yùn)營(yíng)商向她發(fā)送了短信密碼、短信風(fēng)險(xiǎn)提示，以及在內(nèi)部系統(tǒng)大數(shù)據(jù)分析發(fā)現(xiàn)異常后，撥打了李紅的手機(jī)，對(duì)轉(zhuǎn)賬人身份及轉(zhuǎn)賬情況進(jìn)行核實(shí)。但李紅稱，對(duì)于銀行所稱發(fā)送了22條短信密碼及短信風(fēng)險(xiǎn)提示，她只收到了其中的11條，而銀行的來(lái)電她并未接到。這背后的原因在于她的短信被詐騙人員攔截，電話也呼叫轉(zhuǎn)移到了詐騙人員的手機(jī)上。

下午16：00，李紅察覺(jué)到“劉警官”的反常態(tài)度，她在16：39用自己的手機(jī)首次登錄了手機(jī)銀行，卻發(fā)現(xiàn)錢已被盜刷，她意識(shí)到自己被騙，前往派出所報(bào)警，并聯(lián)系銀行掛失銀行卡。

銀行究竟有沒(méi)有責(zé)任？

民警追查到，2021年6月19日在13：51-14：42之間，李紅手機(jī)銀行登錄者的IP地址在臺(tái)灣，使用的設(shè)備是摩托羅拉XT1686，而當(dāng)時(shí)李紅在北京，她的手機(jī)型號(hào)是小米8。

銀行后臺(tái)記錄顯示，李紅的借記卡在6月19日那天共有7次操作涉及人臉識(shí)別，均顯示識(shí)別成功通過(guò)，其中1次為借記卡申請(qǐng)，1次為登錄密碼重置，5次為大額轉(zhuǎn)賬，除了第1次不涉及“活檢”，后6次操作“活檢結(jié)果”均為成功。

李紅并未親自操作，為何6次“活檢結(jié)果”均為成功？李紅的丈夫馬躍（化名）在金融系統(tǒng)工作多年，他成為妻子起訴交通銀行的代理人。他告訴記者，銀行定下的“人臉識(shí)別+短信驗(yàn)證碼”的驗(yàn)證模式，其本質(zhì)目的在于確保由用戶本人親自操作轉(zhuǎn)賬，他妻子在完全不知情的情況下，被詐騙人員從賬戶中轉(zhuǎn)走錢，銀行應(yīng)當(dāng)承擔(dān)保管不力的責(zé)任。

李紅以“借記卡糾紛”為案由起訴交通銀行后，要求銀行賠償存款損失，但北京市豐臺(tái)區(qū)人民法院一審駁回了她的訴求。法院認(rèn)為，李紅在42.9萬(wàn)元被盜過(guò)程中“過(guò)錯(cuò)明顯”，交通銀行作為指令付款方，已通過(guò)多個(gè)登錄密碼、驗(yàn)證碼、人臉識(shí)別的合理方式識(shí)別使用人身份，未見(jiàn)存在明顯的錯(cuò)誤或過(guò)失。馬躍認(rèn)為，李紅在北京剛辦理了借記卡，緊接著IP地址在臺(tái)灣的詐騙人員就能用不同的設(shè)備登錄，并頻繁操作大額轉(zhuǎn)賬，如此異常的操作，銀行本應(yīng)該識(shí)別出轉(zhuǎn)賬的非儲(chǔ)戶本人。

李紅的遭遇并非孤例。早在2020年10月，浙江的趙女士就遭遇了同樣的騙局，她的經(jīng)歷曾經(jīng)被杭州本地媒體報(bào)道。趙女士講述，在與假冒警察的犯罪分子視頻時(shí)，對(duì)方曾要求她做“張嘴”“眨眼”“搖頭”等動(dòng)作，疑似通過(guò)錄像來(lái)騙過(guò)銀行的人臉識(shí)別系統(tǒng)。聯(lián)系上趙女士之后，馬躍又聯(lián)系到4名同樣的受騙者，他們6人都遭遇了同樣的詐騙套路，涉案金額超過(guò)200萬(wàn)元。

2021年9月，李紅和其他女性被詐騙報(bào)案后，交通銀行曾公告停用過(guò)人臉識(shí)別。之后不久，馬躍就發(fā)現(xiàn)交通銀行手機(jī)銀行系統(tǒng)進(jìn)行了改版升級(jí)。但在這年10月，仍有一名受害人的交通銀行賬戶被假人臉攻破。

人臉識(shí)別系統(tǒng)被攻破，銀行究竟有沒(méi)有責(zé)任？在清華大學(xué)法學(xué)院教授勞東燕看來(lái)，目前這一問(wèn)題尚有爭(zhēng)議，但銀行普遍存在變相強(qiáng)迫采集儲(chǔ)戶人臉信息的現(xiàn)象。她說(shuō)：“至少就我個(gè)人的體會(huì)，去銀行辦理存款等業(yè)務(wù)，人臉識(shí)別都是在強(qiáng)制之下弄的，如果不同意采集人臉就辦不了相應(yīng)業(yè)務(wù)。”她堅(jiān)持認(rèn)為，全國(guó)人大及其常委會(huì)有必要考慮對(duì)生物識(shí)別信息進(jìn)行單獨(dú)立法，不應(yīng)放在《個(gè)人信息保護(hù)法》的框架下來(lái)進(jìn)行保護(hù)。

（摘自《中國(guó)新聞周刊》苑蘇文）