央行有關負責人表示,部分市場機構在開展條碼支付業務時,在定價和市場推廣策略中采取傾銷、交叉補貼等不正當競爭手段,濫用本機構及關聯企業的市場優勢地位,排除、限制支付服務競爭,導致支付行業無序發展和不公平競爭,擾亂市場秩序。

網絡圖

最受大眾歡迎的支付方式——掃碼支付今后終于告別野蠻生長,開始有章可循。昨天,央行發布《中國人民銀行關于印發〈條碼支付業務規范(試行)〉的通知》(銀發〔2017〕296號),配套印發了《條碼支付安全技術規范(試行)》和《條碼支付受理終端技術規范(試行)》(銀辦發〔2017〕242號發布),自2018年4月1日起實施。

現狀

部分市場機構存在不正當競爭

央行有關負責人表示,近年來條碼支付業務快速發展,在小額、便民支付領域顯現出門檻低、使用便捷的優勢,市場份額持續增長,成為移動支付發展的重要體現形式。同時,條碼支付的技術實現方式和業務風險相對傳統銀行卡支付具有其特殊性,部分市場機構在業務開展中也存在擾亂公平競爭秩序、支付風險防范不到位等問題。

該負責人指出,條碼支付在降低商戶準入門檻的同時,加劇收單市場亂象。部分市場機構利用條碼可遠程發送、不受專業受理終端限制的特點,在商戶拓展過程中未履行“了解你的客戶”義務,通過“一證下機”等方式違規發展商戶,加劇了套現、二清、外包管理不到位等收單亂象,存在各類安全隱患,對市場可持續發展造成較大的危害。

同時,條碼支付在促進移動支付普及發展的同時,出現擾亂市場公平競爭秩序的現象。部分市場機構在開展條碼支付業務時,在定價和市場推廣策略中采取傾銷、交叉補貼等不正當競爭手段,濫用本機構及關聯企業的市場優勢地位,排除、限制支付服務競爭,導致支付行業無序發展和不公平競爭,擾亂市場秩序。

隱憂

條碼支付存在安全風險

此外,條碼支付借助開放互聯網和非專業設備進行交易處理,帶來一定的技術風險。包括:可視化風險,條碼在開放互聯網環境下以圖形化方式進行展示,不法分子可通過截屏、偷拍等手段盜取支付憑證,在支付憑證有效期內盜用資金;易攜帶惡意代碼的風險,條碼不僅可存儲支付要素,也可攜帶非法鏈接或程序代碼,不法分子可將木馬病毒、釣魚網站鏈接制成條碼,誘導客戶掃描,竊取支付敏感信息;信息單向交互風險,條碼支付只能實現發起方或接收方的單向信息交互,不法分子可利用該弱點實施“中間人攻擊”,繞過身份認證機制,造成用戶資金損失;掃碼設備安全強度低的風險,條碼支付對設備要求低,普通的手機攝像頭、超市簡易的收銀機掃描槍等不具備加密、防拆機等安全功能的設備均可識別條碼,易被不法分子非法改裝使用。

規范

同一客戶單日最多不超500元

此次發布的文件強調業務資質要求。明確支付機構向客戶提供基于條碼的付款服務時,應取得網絡支付業務許可;支付機構為實體特約商戶和網絡特約商戶提供條碼支付收單服務的,應當分別取得銀行卡收單業務許可和網絡支付業務許可。

央行此次還要求加強商戶管理和風險管理。具體來說,央行首先把條碼分為兩大類;靜態和動態。街邊小商戶張貼的收款二維碼就屬于典型的靜態條碼。央行規定,使用靜態條碼進行支付的,風險防范能力最低,為D級,限額也最低。無論使用何種交易驗證方式,使用靜態條碼支付,同一客戶單個銀行賬戶或所有支付賬戶、快捷支付單日累計交易金額應不超過500元。

動態條碼的風險防范能力由高到低分為A、B、C三級,不同等級對應的交易驗證方式條碼和支付限額也各不相同。越安全的動態碼支付,交易限額就越高。

采用包括數字證書或電子簽名在內的兩類(含)以上有效要素進行驗證的動態碼,風險防范能力為A級,可以由銀行、支付機構與客戶通過協議自主約定單日累計額度。

采用不包括數字證書、電子簽名在內的兩類(含)以上有效要素(注:如指紋、密碼等)進行驗證的,風險防范能力為B級,同一客戶單個銀行賬戶或所有支付賬戶、快捷支付單日累計交易金額最高為5000元。

采用不足兩類有效要素進行驗證的動態碼支付,風險防范能力為C級,同一客戶單個銀行賬戶或所有支付賬戶、快捷支付單日累計交易金額最高為1000元。

央行有關負責人解釋稱,為引導銀行、支付機構提高交易驗證方式的安全性,加強客戶資金安全保護,對于風險防范能力高、交易驗證方式更為安全的,不設定額度上限,市場主體可與客戶自行約定交易限額。基于防替換、防盜刷等安全因素角度考慮,要求銀行、支付機構使用靜態條碼支付時要執行更加嚴格的限額管理措施,以鼓勵市場主體采用更為安全的動態條碼提供支付服務。依據主要市場機構條碼支付交易數據顯示,上述額度已覆蓋絕大部分使用條碼支付付款客戶及商戶的需求。

要求

靜態條碼宜采用防偽紙張展示

大街小巷最常見的靜態條碼用起來很方便,但容易被篡改或變造,易攜帶病毒,真偽難辨,導致支付風險較高。

此次央行新規提出了一系列防范靜態條碼風險的措施:一是要求靜態條碼應由后臺服務器加密生成,宜采用防偽紙張展示條碼,防偽紙張應具備一定防偽特征。二是要求展示靜態條碼的介質應放置在商戶收銀員視線范圍內,商戶應定期對介質進行檢查。三是要求靜態條碼采用防護罩等物理防護手段避免被覆蓋或替換,宜使用防偽標簽對防護罩進行標記。四是要求在靜態條碼介質顯著位置明顯展示收款方信息,便于用戶核對。五是通過風險防范能力分級管理,進一步規范使用靜態條碼,并鼓勵使用風險防范能力較高的收款掃碼方式。

釋疑

小微商戶信用卡條碼支付有限額

央行有關負責人表示,考慮到條碼支付業務涉及銀行賬戶和支付賬戶,且可應用于網絡特約商戶和實體特約商戶,為保持監管制度和標準的一致性,遵循銀行卡收單業務管理的相關要求,從條碼支付特約商戶拓展、特約商戶審批、特約商戶信息留存及管理、黑名單管理、實體商戶屬地化管理、外包業務管理等方面明確了具體的管理要求。

同時,為了兼顧小微商戶受理條碼支付的需求,促進普惠金融發展,明確在符合相關資質審核和認定的前提下,小微商戶可以受理條碼支付;同時,為了防范套現等交易風險,對以同一個身份證件在同一家收單機構辦理的全部小微商戶基于信用卡的條碼支付收款金額日累計不超過1000元、月累計不超過1萬元,但受理基于借記卡的條碼支付不受收款額度的限制。(記者 程婕)