1.背景

網際網路金融平臺賬戶進行開戶或者支付業務時，綁卡鑑權環節是必經之路。
那麼什麼是綁卡鑑權？綁卡是將使用者銀行卡資訊提供給金融平臺，以後金融平臺就用這個資訊去銀行完成支付。綁卡實際上是一個授權，讓使用者允許商家自動從他的賬戶上扣除資金，所以綁卡也叫簽約，使用者和銀行，商家的三方簽訂的支付合約。 但我們知道，綁卡對使用者和商戶來說都存在巨大風險：一方面需要向電商暴露個人資訊，一旦被竊取，資金就容易被盜走。還有在手機上執行支付，一旦手機丟失，竊取者就可以輕而易舉的使用或者轉移資金。

2.綁卡場景

怎麼綁卡？我們知道對接銀行有兩種途徑，直接對接銀行介面和通過銀聯來間接對接。這兩種情況下綁卡處理也不同。
綁卡場景
以支付寶、招行網銀、直銷app綁卡流程為例，我們可以體驗下:

這裡有如下要點：
（1）只能綁自己的卡，這主要從安全形度考慮。
（2）需要使用者在銀行側預留的手機號進行簡訊驗證。但不是所有銀行都需要。這個時候，為了統一處理，可以考慮自己發驗證簡訊。

綁卡流程

這裡面涉及兩種型別的綁卡流程：首次綁卡和非首次綁卡

“首次綁卡”

承擔著驗證使用者身份的功能，填寫敏感資訊的步驟一般需要後置，雖然有使用者填錯資訊需要重新輸入的情況，但為保證資訊保安，犧牲部分體驗是必要的。

“再次綁卡”

針對的使用者主要是高階使用者，並且這一操作不再承擔驗證身份的目的， 如果使用者已經登入，密碼輸入這一步可直接過掉。

先介紹比較簡單的銀聯直聯綁卡。為了保證卡的安全，綁卡有這些前置需求:

1.使用者必須已經繫結了手機號。該手機號用於修改支付密碼。
2.使用者需設定了支付密碼。支付密碼不同於登入密碼。

針對使用者不同狀態，綁卡流程上有區別。當然，綁卡是安全操作，要求使用者必須登入到系統中。為了避免和伺服器端的互動被劫持，所有操作必須在安全連結中進行，即使用https。當使用者開始綁卡時，執行如下流程：

1.手機號

檢查使用者是否有手機號。沒有則進入設定手機號流程。

2.支付密碼

檢查使用者是否設定支付密碼。如果已經設定，則需要使用者輸入密碼。確認後開始綁卡。否則，也是先進去綁卡後設定密碼。

3.銀行卡號資訊

使用者輸入卡號，系統根據卡號判斷卡的髮卡行，並顯示給使用者。

4.銀行預留手機號

使用者輸入銀行預留手機。對於沒有綁過卡的使用者，需要使用者提供真實姓名和身份證號(即首次綁卡）。對於信用卡，還需要輸入cv碼和有效期。這一步，卡的資訊都收集全了。

5.呼叫銀行綁卡驗證介面進行綁卡。

這裡有一個四要素驗證的概念。由於國內要求實名制，所有銀行卡都是實名辦理的，所以銀行可以驗證姓名，身份證號，銀行卡號和手機號是不是一致的，如果沒問題，則會發簡訊到手機上。

實名認證

綁卡操作有個不錯的副產品，就是實名認證。常說的二要素，三要素，四要素認證，可以通過這個操作完成。 二要素指姓名和身份證號，三要素加上銀行卡號，四要素則加上手機號。看起來，似乎銀行都應該支援四要素驗證，但大部分銀行介面僅支援三要素，畢竟手機號還是非常容易變。 當然，實名認證，也就是二要素認證，是應用最多的認證了。國內唯一的庫是在公安部這，由NCIIC負責對外提供介面。可以提供如下功能：

簡項核查：返回“一致”“不一致”“庫中無此號”
返照核查：返回“一致+網紋照片”“不一致”“庫中無此號”
人像核查：返回“同一人”“不同人”“庫中無此號”

簡訊和身份驗證

一般綁卡操作第五步需要銀行下發簡訊驗證碼。 簡訊驗證的介面，不同銀行還不一樣。有些銀行是簡訊和身份驗證一起做了；有些銀行是可以配置身份驗證是否同時發簡訊。還有些比較奇葩的機構，比如某聯，介面中讓你傳身份資訊，但實際上沒傳也是可以的，也不驗證身份資訊到底對不對。

此類介面一般包含如下內容：
版本號：當前介面的版本號；
編碼方式： 預設都是UTF-8，指傳輸的內容的編碼方式；
簽名和簽名方法： 生成報文的簽名。 不是所有的欄位都需要放到簽名中，文件中會說明哪些欄位需要簽名；
簽名演算法：生成簽名的演算法，RSA, RSA128， MD5等。
商戶程式碼：在渠道側註冊的商戶號。
商戶訂單號：即傳送給渠道的訂單號；
傳送時間：該請求送出的時間。
賬號和賬號型別： 銀行卡、存摺、IC卡等支援的賬號型別以及對應的賬號；
卡的加密資訊：如信用卡的CVN2，有效期等。
開戶行資訊：開戶行所在地以及名稱；大部分是不需要的。
身份證件型別和身份證號： 可以用於實名驗證的證件，指 身份證、軍官證、護照、回鄉證、臺胞證、警官證、士兵證等。不同銀行可以支援的證件型別不一樣，這也不是問題。大部分就是身份證了。
姓名：真實姓名，必須和身份證一致；
手機號：在所在銀行註冊的手機號。

系統會返回上述資料的驗證結果。如果驗證通過，則會發簡訊。但這不是所有的渠道都是這樣。哪些欄位會參與驗證、需不需要發簡訊，需要注意看介面文件。

6.綁卡簽約流程

使用者輸入簡訊驗證碼並確認綁卡，伺服器端將使用者實名資訊以及簡訊驗證碼組合形成報文，傳送給銀行，執行簽約操作。銀行側簽約成功後，返回簽約號給商戶。

綁卡介面

綁卡介面和發簡訊介面類似，還需要將使用者的卡號，身份證等資訊傳遞過去。在綁卡成功後，會返回一個簽約號。這個簽約號是後續呼叫支付，解約等介面所必須的。 這裡有個問題，已經綁卡的使用者，再綁一次，會出現什麼情況？目前銀行都會返回已綁卡的資訊，也就是不支援重複綁卡。

3.網際網路金融平臺常見綁卡鑑權方式

好了，科普到此結束，迴歸我們今天的重點，目前從市場上來看，不同的平臺封裝出了不同的快捷支付鑑權方式，這些鑑權方式各有優劣，我們收集了部分常見的鑑權方式，一起來看看各自有什麼特點，下面將從綁卡鑑權方式，鑑權要素，安全係數三個維度進行分析常見的綁卡鑑權對比

3.1全渠道鑑權

• 特點：

我們較常見且較方便的鑑權方式為全渠道鑑權，即銀行卡四要素鑑權，提供姓名、身份證號、銀行卡號、手機號四要素綁卡成功之後，後續只需要在商戶輸入交易密碼（簡訊驗證碼）即可進行支付。

• 鑑權要素：姓名、身份證號、銀行卡號、手機號

• 安全性：1

目前最快捷的綁卡方式，最早應用於支付寶等第三方支付平臺的銀行卡鑑權，經多年驗證，安全級別較高。但這種綁卡方式依賴於使用者的銀行預留手機號的簡訊驗證碼，因此對簡訊運營商的安全措施和使用者的手機資訊保安要求都很高。
但是事實證明，簡訊驗證碼很容易洩露。此前有過騙子通過移動運營商的“簡訊保管箱”業務盜取使用者驗證碼進行盜刷的情況;同時騙子還可以通過偽基站、病毒連結、病毒二維碼等植入手機木馬攔截簡訊，以及通過社交工具偽裝熟人騙取簡訊驗證碼。

3.2第三方支付平臺鑑權

• 特點：

第三方支付平臺鑑權，即開戶時需要對接第三方支付進行鑑權，例如易寶支付、快錢等，有些對使用者無感知的，有些是使用者可感知的，無感知的即不會跳轉到第三方支付平臺，後臺幫使用者隱形開戶，有感知的是跳轉到第三方平臺頁面，讓使用者自己提供資訊進行開戶，鑑權綁卡成功之後同樣是只需要輸入交易密碼（簡訊驗證碼）即可進行支付。

• 鑑權要素：姓名、身份證號、銀行卡號、手機號

• 安全性：1

3.3人行小額鑑權

• 特點：

人行小額鑑權和全渠道鑑權相比多了一個銀行卡型別的判斷（注：銀行賬戶分為Ⅰ類戶、Ⅱ類戶、Ⅲ類戶），這個引數在一些場景還是比較有用的，例如綁卡的時候用來識別卡為一類戶還是二類戶，對防範薅羊毛等相關行為有一定作用，其他的和全渠道沒什麼區別。

• 鑑權要素：姓名、身份證號、銀行卡號、手機號、卡型別

• 安全性：2

3.4銀聯消費鑑權

• 特點：

銀聯是個比較特殊的第三方支付平臺，可進行類似全渠道銀行卡四要素鑑權，也可進行四要素+取款密碼的方式，這由髮卡行決定。與全渠道鑑權和第三方支付平臺鑑權相比，不同的點在於銀聯鑑權允許使用者在其閘道器頁面輸入銀行卡的交易密碼進行驗證，如下兩圖所示，兩個不同的髮卡行需要的鑑權要素不一致，這由發行卡決定。

• 鑑權要素：姓名、身份證號、銀行卡號、手機號、密碼（可選）

• 安全性：3

3.5銀聯閘道器鑑權

• 特點：

銀聯閘道器鑑權，在提供了綁卡四要素以外還需要跳轉到髮卡行（或者銀聯）的閘道器頁面輸入銀行卡的取款密碼進行校驗，校驗通過後才能綁卡成功。

• 鑑權要素：姓名、身份證號、銀行卡號、手機號、密碼

• 安全性：3

在驗證了四要素資訊及銀行預留手機號驗證碼後，附加銀行卡取款密碼。這也是目前銀聯等推行的更安全的驗證方式。但是讓使用者在網際網路平臺上輸入銀行卡取款密碼需要很強的信任感，同時取款密碼的輸入也依賴各類外掛或者SDK等，對平臺的整合難度加大，也影響平臺體驗的統一，因此目前使用此類方式綁卡的平臺不多。同時這種綁卡方式也不是無限可擊，雖然多了一層密碼保護，增加了騙子盜取的難度，但是目前密碼洩露非常嚴重，更何況很多人的密碼其實和他們的個人資訊相關。因此這種綁卡方式雖然安全性有所提高，但是使用率也不高。

3.6小額打款驗證鑑權

• 特點：

一種相對簡陋的綁卡方式，平臺通過使用者帳戶、姓名給使用者打入一筆小金額，使用者正確提交入賬金額給平臺，由此確定使用者對卡的所有權，完成綁卡。但是由於在銀行的安全體系裡，賬戶的查詢許可權比支付許可權要低很多，渠道相對便捷，詐騙團伙通過簡化版網銀或通過銀行客服電話等查詢餘額，完成銀行卡所有權的認證之後，就可以將卡的查詢許可權提升為支付許可權，隱患很大。

• 鑑權要素：姓名、身份證號、銀行卡號、手機號

• 安全性：2

3.7小額轉賬驗證鑑權

• 特點：

商戶會進行姓名、身份證號、銀行卡號三要素鑑權，三要素通過之後商戶還會要求使用者使用將要繫結的銀行卡向商戶的對公戶轉入指定金額，使用者需要登入網銀向商戶的對公賬號轉入對應金額，商戶會校驗金額是否正確，核對賬戶名稱、銀行賬號是否一致，驗證成功後繫結銀行卡。

• 鑑權要素：姓名、身份證號、銀行卡號、手機號、密碼

• 安全性：3

與小額打款綁卡類似，把平臺轉賬給使用者變成了使用者轉賬給平臺，因此需要使用者擁有銀行卡的轉賬許可權。由於能夠最大限度保證持卡人的賬戶安全，因此，雖然操作轉賬相對麻煩導致使用者體驗上會打折扣，這種方式在網際網路金融平臺中接受度較高。但是，由於目前銀行在做各種體驗升級，每個銀行的安全級別不盡相同，有些銀行做創新業務嘗試，很可能小金額的轉賬需要的授權級別比較低，如果被騙子突破用於綁卡，即可在平臺實現大金額的投資交易。

以上為比較常見的鑑權方式，當然還存在其他的封裝模式，不一一列舉，那麼上面的幾種方式安全性以及使用者體驗孰優孰劣相信大家已經有個大概了。

4.網際網路金融平臺綁卡潛在漏洞及應對措施

簡訊驗證碼容易洩漏

雖然說這些鑑權方式都是比較安全的，但是盜開、盜刷、薅羊毛等因為鑑權導致的安全事件還是頻繁出現，說明鑑權的風險還是存在的，主要因為上述中前幾類鑑權都是提供銀行卡四要素，這對於現在大資料時代（或者說黑灰產）來說，唯一相對保密的就是手機動態驗證碼，然而這並不能難倒黑灰產人員，黑灰產人員可以對普通使用者傳送釣魚簡訊，簡訊中包含惡意連結，點選則會安裝惡意APP，從而導致手機簡訊驗證碼被盜取，造成盜開盜刷等安全事件。我們對曾經捕獲的惡意APP樣本進行分析，進入木馬收件箱可看見大量被盜取的手機驗證碼。

網際網路金融平臺該如何應對

1.同卡進出

即資金與銀行卡完全繫結，確保從哪裡投資回哪裡去，實現資金的閉環，典型的案例如券商的銀證賬戶。

同卡進出可以最大限度保障資金安全，即使發生盜刷，資金最終還是隻能在同一張銀行卡內流轉，騙子無法取走。因此，當前券商、基金、保險的使用者資金幾乎都是同卡進出，網際網路金融平臺也越來越多的採用同卡進出的方案，這是平臺確保客戶資金安全的一把金鎖。

2.提醒和教育使用者

雖然平臺可以通過“同卡進出”掐斷提現，但是騙子的騙術層出不窮，總能找到突破口。平臺還是有提醒和教育使用者的責任和義務。比如可以提醒使用者注意防範騙子偽裝成熟人、警察，不要相信所謂“安全賬戶”、不要洩露簡訊驗證碼、不要點選陌生連結、不要隨意輸入銀行卡密碼等個人資訊等。

3.遠期風控措施

遠期來看，網際網路金融平臺還可以嘗試一些更有效更有力的風控措施，增加驗證手段，提高資訊盜取的難度，例如將四要素認證升級為卡密認證，以及增加視訊認證等，大大增加詐騙行為的實施難度。
　　與此同時，網際網路金融平臺可以利用行業內的風險資料的黑名單庫，通過接入一些第三方平臺可以進行匹配查詢，進而識別風險使用者。
　　此外，還可以加強行為分析風控。通過行為分析、關係網分析等對風險行為進行識別，進而及時制止。還可以通過機器學習逐步建立和完善風險識別模型。

參考資料：http://blog.lixf.cn/essay/2016/10/12/account-3-bank/