銀行家觀點》從國際經驗談數位支付詐騙態樣和風控措施

數位支付為消費者打造安全的網路支付環境、增進社會大眾對數位環境的信任，金融創新才有未來，但面對詐欺活動走向集團化和科技的力量不斷壯大、在網路世界四處作亂危害金融秩序，金融生態圈的參與者應攜手加強合作，一起為台灣打造更安全的金融環境而努力。

一個微涼的週末午後，小蓮（化名）忙裡偷閒到朋友推薦的一個蓮霧果農粉專逛逛，網頁說因為時值蓮霧產季訂單眾多，想提早領貨就要早點下訂，小蓮便在粉專中留言下單，不久後接到一位自稱是果農粉專助理的人傳來私訊，要小蓮到指定網址填妥訂購內容，小蓮想說消費金額不大，於是根據指示以信用卡付款，不到半晌，小蓮收到信用卡交易1塊錢的訊息，雖覺得困惑，但心想商家或許只是要先確認信用卡資料的正確性而先試刷，等到出貨時再另外結清尾款，於是不疑有他的也在付款網站提交收到的信用卡交易一次性驗證碼（OTP），沒想到不到1小時，就接到發卡銀行來電示警，表示他的信用卡在短短30分鐘內有5筆在超商購買遊戲點數的交易，總金額將近10萬，原來那位自稱是果農助理的其實是詐騙黑手，利用詐取而得的交易資料把小蓮的信用卡綁定在用來犯案的數位錢包中，並透過多個車手利用數位錢包的掃碼支付QR Code在不同臨櫃交易地點同步購入遊戲點數，原本一樁單純幾百元的網購卻讓小蓮身陷詐騙集團可怕的網羅中，令人錯愕。

金融詐欺事件層出不窮、攻擊手法日新月異，小蓮的經歷只是冰山一角，放眼全球，詐騙活動對金融秩序造成嚴重干擾，其中，以快速便利為訴求的新型態數位支付工具更成了犯罪溫床，英國金融業界組織UK Finance指出，2023年英國上半年的授權支付類型（Authorized Push Payments）的詐欺活動較2022年同期增長了27%，金額達2.4億英鎊（約95億新台幣），要有效抑制詐欺活動，除了靠消費者提高警覺外，如何強化數位支付體系的安全性?本文接下來將從交易流程的角度，探討國內各主流數位支付工具的潛在詐欺風險點，並借鏡國際經驗、探討風控處方。

數位支付詐騙態樣和風控措施

數位支付詐騙態樣可以從支付工具弱點與詐騙手段兩種角度來進行分析，以支付工具弱點角度分析，台灣數位支付究竟存在哪些風險點值得留意呢？可以從支付流程加以剖析。台灣目前新型態的數位支付工具可概分為四大類：電子支付、第三方支付、商家自營App和行動裝置載體支付，支付流程基本上包含3個步驟：（A）註冊、（B）綁定支付工具／儲值工具、（C）付款通知與執行。 （相關報導： 金融熱議》輝達股價驚驚漲，才180天又漲一倍，市值已突破2兆美元！到底天花板在那裡？ ｜ 更多文章 ）

註冊

根據歐洲國際組織EPC（The European Payments Council）的報告，詐騙集團為隱匿犯罪行為並且加快取得資金，通常會透過以下幾種方式註冊或取得數位支付帳戶使用權：a、盜取他人身分資料並註冊帳戶；b、盜取現有帳戶；c、匿名註冊（例如註冊只要求電子郵件地址）。取得數位支付帳戶後，歹徒就可以利用帳戶本身已綁定的支付工具或儲值額，或將他人的信用卡綁定於數位支付帳號，以進行洗錢活動。

四大類的數位支付工具中，除電子支付之外，其他數位支付工具的註冊要求皆比較簡單，例如只用手機號碼甚至可採匿名方式進行，惟相關詐欺風險（特別由信用卡綁定所引發的相關風險）卻不見得低於電子支付，形成了風險與風控不一致的現象；再者，如EPC報告所提到的，儘管實名認證和手機認證看起來比較安全，但若相關程序不夠嚴謹（例如認證資料可能被以假網站、假交易迷惑、或口語欺詐、或駭客APP從中攔截等風險），仍有可能使得用戶在毫無警覺的情況下淪為詐騙集團的人頭戶，等到發現時往往為時已晚，甚而因此官司纏身。

建議加強管控措施

重新檢視目前數位支付風控和保護民眾的政策：數位支付的風控措施理應反映交易風險，風險越高，支付控管方式就要越謹慎，關鍵是風控若能做得越好，就算風險再高也能利用更好的風控技術或科技來減降風險而變成低風險，目前匿名制數位支付工具容易淪為詐騙集團的詐騙資金與洗錢工具，其支付限額理應較實名制數位支付來得低，惟依據現行作法，信用卡綁定於匿名數位錢包的交易限額卻比採實名制的電子支付來得高，建議未來應從風險控管的觀點，重新審視相關各類數位支付註冊和限額等的設定是否合理，以強化交易安全性。另外，目前信用卡公司對簡訊OTP認證碼遭用戶傳遞給詐騙集團後的交易仍視為合法的授權交易，須由用戶自行承擔損失，與實體信用卡遭盜用時用戶最多只需負擔一定自負額的處理方式，此作法是否允當，值得商榷。

提高實名驗證準確度：目前在台灣的實名制數位支付工具中，身分驗證程序通常會要求使用者上傳身分證，然而，此種方式並不能確保驗證程序是由身分證持有者親自完成，建議利用拍攝當下註冊人的照片與身分證上的照片利用科技進行對比，或要求註冊人持身分證採取不同的動作，以確保註冊者為身分證持有人本人。另外，也可以考慮使用TWID身分識別中心提供的身分識別驗證服務透過門號或超商進行身分認證，或搭配金融FIDO認證以提高準確度。

提防手機SIM卡落入歹徒手中：大部分數位支付工具係以手機門號註冊，手機門號亦是金融機構發送OTP和重要訊息的主要渠道，重要性不言可喻。SIM卡若不慎落入歹徒手中（例如假冒客戶本人向電信公司申請更換SIM卡），歹徒便可以輕易假冒成受害客戶，申請各類數位支付帳戶進行交易。為防止類似情況產生，電信業者受理SIM卡更換或登記為新用戶之申請案件時，應同步通過多個管道（例如簡訊和電子郵件）通知客戶，經再次確認係由用戶本人申請後，才受理相關程序，並且通知客戶所屬發卡銀行及客戶已註冊之數位支付平台，建議未來電信業者可與銀行及數位支付平台合作，促進跨機構間資訊的分享，使風險監控機制更加完善。 （相關報導： 金融熱議》輝達股價驚驚漲，才180天又漲一倍，市值已突破2兆美元！到底天花板在那裡？ ｜ 更多文章 ）

設立資訊平台供民眾查詢所有以其名義註冊之銀行、數位支付帳戶以及手機門號：當名下有新登記的帳戶或手機門號時，應通知本人，並於靜止帳戶再次被啟動時要求額外身分驗證程序，以免民眾在不知情的情況下，淪為詐騙集團用來犯案洗錢的人頭戶。

綁定支付工具／儲值工具

當歹徒取得一個無法追蹤其身分的數位支付帳戶後，就算該帳戶本身並無綁定任何信用卡或儲值工具，也可能被用來綁定他人的信用卡。

所有數位支付工具中，除電子支付外，其他數位支付通常無要求信用卡持卡人要與帳戶登記人一致，亦即歹徒只需取得信用卡資料並騙取OTP，即可輕易將信用卡綁定至數位支付，因綁定後的交易大多不須再由OTP授權即可直接從信用卡扣款，歹徒不經授權即使用所綁定的信用卡進行多次消費，直至卡主收到發卡銀行通知並緊急停卡為止，難怪信用卡被用於綁定數位支付的詐騙案件越發頻繁。

建議加強管控措施

OTP／交易通知簡訊內容：目前大部分銀行業者在發送OTP／交易通知的簡訊時，因為成本考量和技術限制，未能清楚告知客戶：a、交易目的（例如：綁卡／消費等）；b、交易緣由（例如：係透過哪個數位支付平台進行何種交易）；c、對交易有疑慮時之緊急通報處理程序，訊息不夠明確，增加了消費者被騙取OTP的風險，也導致客戶難以在第一時間判斷是否為可疑交易，因而錯失了通報與處理的黃金時機，建議發卡銀行可利用其App來提供更詳細的OTP／交易通知，也可讓客戶在案發時，直接透過App進行緊急通報。

信用卡預設關閉綁卡功能：申請信用卡的客戶未必都需要使用數位支付，發卡銀行可參考EPC報告的建議，在發出新信用卡時先將綁卡功能關閉，待客戶有需要使用時再於App中自行啟用；App中除提供綁卡功能的開關以外，也可讓客戶根據自己偏好和風險承受度訂定消費限額，以及開關信用卡於網上或海外消費等功能，甚至可以讓用戶選擇與限定交易網站，避免用戶的交易認證遭假網站轉傳給非意圖交易的網站手上，以強化風控。

付款通知與執行

EPC報告指出，付款通知常被歹徒用來進行以下非法活動：a、應用高科技手法鎖定並與被害人建立信任，透過社交工程發出假的付款通知給受害人，以騙取信用卡資料和OTP，進而直接進行交易或將信用卡綁定於數位支付平台後進行交易；b、竄改商家收款QR Code，或透過電話或電子郵件告訴受害者付款通知上的付款訊息已經更改，誘使受害者將款項支付到歹徒所指定的帳戶中，以遂行詐欺之意圖。

建議加強管控措施

歹徒常以竄改電話號碼的方式冒充銀行、商家或警察局等機構發送訊息，目前國家通訊傳播委員會已針對境外來電和+886開頭的來電進行攔截和語音警示，為加強遏阻詐欺活動，建議政府與電信業者合作，以特殊符號來區別經實名驗證的電話號碼，方便消費者辨識來電者身分。

加強防詐教育：防詐教育的重點除教導民眾如何對詐騙手法提高警覺以外，亦可納入受騙後的緊急處置方式，例如：民眾若不慎受騙，應如何依據不同情境，啟動相關通報及處理程序，以減少損失。 （相關報導： 金融熱議》輝達股價驚驚漲，才180天又漲一倍，市值已突破2兆美元！到底天花板在那裡？ ｜ 更多文章 ）

從國際經驗探討金融防詐策略

數位支付的交易流程中，從帳戶開立、支付工具綁定，到個別交易的處理與授權等，確實存在一些容易被不法人士利用的漏洞，除了靠支付生態圈的參與者（包括：支付平台及金融機構等）不斷改進風控效能外，市場整體機制還有哪些議題值得產業界共同思考研商？

優化支付身分驗證機制、減少敏感性個資盜用與外洩風險，為消費者打造兼顧安全與便利性的數位支付環境：依據世界銀行（World Bank）於近年所發布的「Customer Authentication in Payments」報告，採用符合歐盟標準的高強度身分驗證機制，包括：無卡支付安全機制EMV 3-D Secure、行動門號認證機制Mobile Connect、行動身分識別標準化機制FIDO等各類，其中FIDO係利用非對稱金鑰技術（PKI），將私鑰存放在已綁定用戶端的驗證器（Authenticator），用戶不需要使用密碼作為認證依據，免除用戶因傳輸敏感性個資及密碼所承擔的風險，伺服器端也不需要儲存密碼，可以防止密碼被駭所產生的風險，目前FIDO已正式被歐盟採納，而國內的「金融FIDO」服務，也已於2023年6月正式上線，作為泛金融產業的「行動身分認證」機制，目前國內已陸續有許多金融機構（包括：銀行、證券公司、保險公司等）將FIDO導入不同的金融服務場景中，未來若能進一步推廣到數位支付領域，相信將有助於提升支付安全；而除FIDO以外，World Bank報告也提及另一個在國際間頗為流行的無卡支付安全機制EMV 3-D Secure（3DS），目前這套機制不但可從交易流程獲取更多資訊軌跡（包括：交易位置、IP address、用來付款的裝置等），也可支援FIDO身分認證，亦值得作為國內未來強化數位支付身分認證的參考借鏡。

透過Open Banking平台串聯不同支付交易數據源、鼓勵FinTech業者發展防詐創新應用：目前金融機構及數位支付平台大多已將常見的可疑交易態樣納入預警系統中，惟目前金融機構只能掌握到發生於自家的交易，無法對客戶所有的交易（例如於數位支付平台的交易）進行即時而全盤的了解，以至於錯失遏阻詐欺活動的最佳時機，如同Gartner報告指出，未來交易資料分析的方式應要從Discrete Analysis走向Connected Analysis，也就是把散落在不同機構、支付渠道的帳戶、人、事、時、地、物的碎片化資訊串接起來，以便於對消費者的支付習慣及交易態樣有全貌性的了解，目前國內積極推動Open Banking，第三階段交易面的資訊規範亦已於1月上旬由金管會完成核備，並開放有意與TSP業者合作的銀行提出申請，未來國內支付交易數據的分享與整合效率將可望藉由Open Banking推動逐步提升，政府若能順水推舟，鼓勵TSP業者推出防詐的相關金融創新應用，例如：可讓消費者透過App通盤掌握及控制分享各類支付工具開戶情況及交易動態，應有助於強化社會大眾對於支付工具的信心，也為金融科技的創新帶來鼓舞的作用。

建立跨機構之交易情資監控平台，以利業者即時掌握疑似詐欺交易金流軌跡：新興科技崛起下，金融詐欺的手法也越加精密複雜而且越來越快，為有效防詐，技巧與時效缺一不可，群策群力更為時勢所趨，近年來許多先進國家已著手建構金融生態圈共享的防詐科技平台，如英國的MITS平台是由當地快速支付系統（Faster Payment）的技術支援廠商、營運機構及周邊專業組織（如Pay.UK和UK Finance）等共同打造，應用機器學習技術即時辨識與追蹤可疑交易活動，並在必要時可進行帳戶資金凍結等相關必要處置，除英國外，歐洲央行刻正研究的Digital Euro計畫，也預計整合金融產業生態圈資源，於系統架構中導入一個獨立於交易清算系統以外的中央支援系統（Central Support System, CSS），應用去識別化的客戶與交易資料來判斷可詐欺交易的新興態樣，未來國內或也可考慮仿照英國及歐盟作法，整合金融業、數位支付平台、電信公司、身分認證中心等不同產業的資源，建立中央化的交易情資監控平台，應可有助於提升防詐精確度和時效性。

數位支付為數位金融服務多元化發展的基石，為消費者打造安全的網路支付環境、增進社會大眾對數位環境的信任，金融創新才有未來，面對詐欺活動走向集團化和科技的力量不斷壯大、在網路世界四處作亂危害金融秩序，期待金融生態圈的參與者（包括：網路業者、金融機構、支付平台、電信業者等）能打破產業藩籬、加強合作，共同協力整合資源，從資訊分享與整合、身分驗證機制，到數位科技的應用等層面持續提升台灣防詐機制的成熟度，一起攜手為台灣打造更安全的金融環境。 （相關報導： 金融熱議》輝達股價驚驚漲，才180天又漲一倍，市值已突破2兆美元！到底天花板在那裡？ ｜ 更多文章 ）

＊作者陳緹珍為台灣金融研訓院金融研究所研究員、吳鹿朋為香港金融管理局前零售支付監理處經理，本文選自171期台灣銀行家雜誌，授權轉載