信用卡“后三码”为盗刷留门 无卡无密仍能消费

编者按：没文化真可怕。
　　信用卡，一直是不法分子所梦想的生财之道。信用卡的犯罪手法近些年来也是花样不断，从最初的换卡调包、胶水封住ATM出口，到在门禁系统、插卡口装 盗号器、自动取款机上装探头……弄得卡族们胆战心惊，生怕一不小心就中招，卡族们防范意识因此也大幅增强，尽量做到卡不离手、密码不外泄。然而即使这样，信用卡仍有可能被盗刷。信用卡的使用方式中有种叫“无卡支付”，或者叫“无卡无密支付”，只需要提供卡号和信用卡背面三位数的验 证码（CVV，又称“后三码”）就能完成支付。加之人们对CVV码的保密意识相当薄弱，让不法分子有机可趁，所以即使信用卡和密码保护得再紧也有可能被盗 刷。

　　IT时报记者 唐晓园 钱立富
　　无卡无密照样能消费
　　市民袁小姐在某知名旅行网上用招商银行信用卡订购了两张上海往返北京的机票，共计1910元。袁小姐根据网站提示输入信用卡持卡人姓名、证件 号、信用卡有效期和信用卡背面的验证码后，很快收到网站发来的机票订购成功短信，并收到招行信用卡短信提醒：您的信用卡预授权人民币1910元，这让她不 得不感叹网络订票的方便快捷。
　　肖先生也碰到同样状况，前些天在某电器网上商城购买了一台数码相机，付款时网站只要求他输入身份证号、持卡人姓名、信用卡卡号、信用卡背面的验证码。“原本以为是要输入密码的，没想到不要密码也能交易成功”，肖先生十分纳闷。
　　为何无需信用卡密码就能完成支付呢？关键就是信用卡背面的验证码，也就是前面提到的“后三码”。
　　据了解，信用卡的使用，分为“过卡交易”和“离线交易”两种。前者由持卡人持信用卡在商场、超市等POS机终端上刷卡、签字授权，然后完成交 易。离线交易，则常见于持卡人预定酒店、机票，或者网上支付时，商家同样通过POS系统，提供信用卡账号及其后三码，即可完成交易。
　　所谓的后三码，是一串卡片背面的末3位数字，此码经过发卡银行的编码规则和加密算法生成。在支付过程中，如果商家将后三码提供给银行，银行会默认为商家取得持卡人授权，从而允许进行交易。
　　“后三码在离线交易中是极其关键的，给持卡人消费带来了便利，也给商家带来便利。我们跟符合条件的商家合作，商户在持卡人消费前先冻结一部分资 金，在消费完以后持卡人签字，商户才能正式扣掉这部分资金。这样可以尽量避免跑单现象的出现，比如你定了酒店却不去住，都这样不就乱套了吗？”农行信用卡 中心相关人士对记者表示。
　　便捷背后的用户恐慌
　　袁小姐和肖先生在感叹信用卡离线交易和后三码带来便捷的同时，却也有着一丝“后怕”。难道无需输入信用卡交易密码就能完成支付了？那如果有人捡到自己的钱包，岂不是可以根据里面的证件和信用卡信息，随意在网上刷卡？
　　由于目前国内不少航空公司和订票网站的信用卡支付服务都无需输入密码，只要向网站提供卡号、有效期、验证码等信息，都可成功支付，因此信用卡卡 号等相关信息就显得尤为重要，而此类信息很容易被身边相识的“有心人”获得。同时，记者了解到目前各订票网站都无法核实订票人是否就是持卡人本人，这样一 来，就有可能被身边的“有心人”钻了空子，吃哑巴亏。
　　采访中，不少市民表示，自己根本不知道信用卡还有如此功能，“仅凭卡号等卡面信息，信用卡竟能被消费，实在太不可思议了，也太危险了。”
　　光大银行信用卡中心戴女士表示，用户没有必要恐慌，因为从现在使用的情况来看，利用后三码离线交易的大多数是一些实名制的商品，比如飞机票、预 定宾馆酒店等。“即使发现他人利用持卡人的信用卡订票了，也是无法使用的，所以银行在使用这种支付方式的时候，是充分地考虑了账户资金安全性的。”戴女士 称，各家卡中心都有很多的保护措施，比如“短信通知”等，一旦用户的信用卡余额发生变动时，持卡人及时能知晓，如果发现交易不当可以制止。
　　“通过短信通知，如果你发现你的信用卡有不正常交易发生，可以及时打银行热线，立即制止”，工商银行信用卡中心人士表示。
　　小心成不良商户“提款机”
　　虽然有银行人士的安抚，但是用户的担心不是毫无缘由。事实上，后三码离线交易产生的信用卡被盗取资金的风险是存在的。
　　比如作为防范手段的短信通知功能，据记者了解有的银行规定只有发生500元以上的交易额时，才会短信通知持卡人。那么获取了他人信用卡卡号和后三码的“有心人”就有可能利用这个规则，每次只消费499元而不被发现。
　　再比如，各家银行对“预授权”的规定不尽相同，有的银行规定持卡人在消费完签字后，商户才能正式扣掉实现冻结的那部分资金；而也有银行规定具体 扣除钱款的时间由商户决定，有的商户或许在持卡人没有产生实际消费时就会扣除钱款。甚至是，某些存心不良的商户在获取信用卡后三码后会借此良机“偷取”用 户的钱。
　　市民方先生就碰到了这样的倒霉事，在一次某银行信用卡中心寄来的账单中，他发现多出了一笔300元的莫名扣款。几番和银行沟通之后，他得知这 300元被一家从事会员消费折扣卡的商家给扣走了。怎么会和该商家产生关联呢？原来一个多月前方先生在街上看到该商家摆摊设点推销一种消费折扣卡，工作人 员对他表示试用期过后不续订可自动取消，然后要方先生填写个人详细资料，包括信用卡卡号和背面的数字。正是填写了这些数字，让方先生不小心成为商家的提款 机。方先生后来了解到，该商家是一家第三方支付平台的签约商户，申办了“离线支付”业务。商家登录第三方支付平台，在“信用卡远程支付MOTOPAY(离 线支付)”栏下，输入被提供的账号、客户的信用卡卡号与后三码，便可自行输入金额，进行划款。
　　“这样的漏洞的确是存在的，如果知道持卡人的卡号和后三码，第三方支付平台的签约商户的确可以将用户的钱给划走”，一名第三方支付的业内人士对 记者表示。这些不良商家不会划走大笔金额的，一次只划两三百元，让人不易察觉，“所以第三方支付平台一定要加强对签约商户资质的审核”。
　　而今年6月郑州警方破获的一起案件，则更加让卡族们心惊肉跳。3名犯罪嫌疑人居然在手中没有信用卡，也不知道密码的情况下，租来POS机终端，疯狂刷卡套现20万。关键就在于，嫌疑人获得了信用卡的卡号和后三码。
　　“一旦你的卡丢失了，你觉得卡号、后三码信息泄露了，尽快挂失，信用卡的后三码会相应变更的。”记者拨打了建行、农行等多家银行的客服热线，都得到了同样的建议。
　　记者手记
　　危险且被漠视的“第二密码”
　　通常人们都记得不要将自己的信用卡密码轻易透露，却对后三码了解甚少，“保密工作”更加谈不上。
　　称后三码是信用卡的“第二密码”毫不过分，前面文章已经提到，一些“有心人”会利用他人的信用卡号、后三码，预定机票、酒店或者网上消费。其 实，后三码还有另一个重要作用，防止自己的卡被“克隆”。不法分子如果偷窥获取了信用卡账号信息并复制卡，如果没有后三码信息，即使知道密码，取款时也会 被ATM机器拒绝。
　　对于这样重要的一个“密码”，国内持卡人几乎都不知道它的存在，更没有相关的风险意识。主要原因是银行虽然鼓励用户进行持卡消费，但是却没有尽到警示性提示的责任。在用户办理信用卡时，相关的资料上都没有任何介绍性、警示性文字涉及后三码。
　　在美国等国家，不论是过卡交易还是离线交易，交易凭证都是持卡人签字或后三码，因此国外持卡人对后三码的保护意识相当强。而国内的银行鼓励持卡人给信用卡设置密码，宣传密码的重要性，同时又支持后三码的离线无卡交易，却不向用户告知后三码的重要性，结局自然可想而知。
　　相关链接
　　“三招”看牢信用卡
　　第一招：胶布保护好后三码
　　不少网友支招可以用方便的胶布将后三码盖住，这样即使“有心人”在短时间内拿到信用卡或是瞄到卡号时也未必能得逞。
　　第二招：信用卡不离视线
　　在外刷卡时，不要嫌麻烦将信用卡交给店员拿去结账，防止“别有用心”者借机取得信用卡上的相关信息。最好不要让信用卡远离自己的视线范围。
　　第三招：消费短信及时报
　　银行人员提醒，持卡人可给信用卡设置消费金额短信提醒，可以在第一时间知晓卡内金额变化，如有异常马上致电银行或警方。此外，用户也可在自己需要网上购物时才给信用卡开通网上支付功能，完成交易后取消该功能，下次需要时再重新开通。

《IT时报》