(电子商务研究中心讯) 摘要：3月11日，网经社主任曹磊在接受《国际金融报》记者采访时建议，“最好不要把自己的出生日期、家庭电话号码以及自己的身份证号码作为密码，应选择有代表性的数字和字母混合的方式设定密码。同时，消费者尽量避免在公用的计算机上通过网上银行进行交易，防止数字证书等相关资料落入不法分子的手中，避免密码单一性。”
以下为该报道原文全文，原题：《手机丢了，资金会被盗吗》
现在打车付钱、网购、缴费、还信用卡等日常消费，都能通过移动支付软件完成支付，手机被越来越多的人当做智能钱包。给人们生活带来便利的同时，却带来风险隐患。
针对网银、手机支付的各类犯罪手段层出不穷。除了钓鱼网站、木马病毒有危险，扫描二维码有陷阱，“蹭”免费WiFi也有风险，如果手机一旦遗失，绑定手机支付功能的用户的资金是否安全？
宋先生在天猫商城的品牌旗舰店购买了一个枕头，没过多久就接到一通电话说付款被冻结了，需要退款之后再重新付款。于是，对方传输了一个插件链接，宋先生按照提示一步步操作，结果被骗走了3000多元。
满女士的银行卡和U盾都在身上，也从来没用过手机银行，却被人通过手机银行刷走了1.6万余元。满女士立即前往开户行查询账单明细，发现卡内的钱是通过手机银行被3个公司盗刷，再三追查后，满女士发现她的个人账户信息被莫名窃取。
这是《国际金融报》记者从网经社了解到的两个真实案例。随着互联网应用不断渗透、移动支付日益普及，类似的情况频繁发生，困扰着每一个用户：账户信息安全吗？资金安全有保障吗？
互联网的黑色“大盗”
“互联网支付的安全隐患甚嚣尘上，个人账户信息安全显得尤为突出。”网经社助理分析师姚建芳给《国际金融报》提供了一组数据：2013年上半年，中国电子商务投诉与维权公共服务平台接到的第三方支付类投诉占所有电子商务投诉的4.32%。
上海的李女士在天猫商城某数码商店购买一副328元的耳机，最终被骗超过2万元。到底骗子是如何通过一副328元的耳机，最终骗取李女士2万余元呢？
我们来看看骗子的手法：骗子首先通过网上购买等方式，拿到了大批买家的订单信息，其中就有李女士购买该耳机的订单信息。然后通过订单中的电话，联系李女士，告诉她“因为订单有问题，需要退款，所以需要李女士配合”。而李女士因对方能准确地说出其购物信息，确信对方是客服，于是就告诉了对方自己的QQ号码。随后骗子发送了1个伪造的淘宝链接给李女士，李女士打开该链接并开始操作。
根据金山网络安全中心监控，网购“退款”诈骗行为暴增，目前，已有数十名用户被骗，被骗现金总计超过6万余元。
中国电子商务投诉与维权公共服务平台在去年“3·15”期间发布的数据显示：2012年，在全国第三方支付领域投诉中，财付通占比为23.50%，国付宝占比为19.83%，支付宝占比为16.70%，易宝支付占比为9.35%，百付宝占比为4.90%。
姚建芳告诉《国际金融报》记者：“互联网中的黑色产业链已经形成。李女士的情况很可能是中了木马病毒。木马病毒会监视受感染计算机系统中正在访问的网页，如果发现用户正在登录某银行个人网上银行，就会弹出伪造的登录对话框，诱骗用户输入登录密码和支付密码，并通过邮件将窃取到的信息发送出去。”
“还有一些不法分子以银行、金融机构或其他机构名义向用户发送各种电子邮件，甚至打电话给消费者，以欺诈性信息诱骗客户，从而获取包括银行密码在内的个人信息。”姚建芳进一步指出，“当然，不排除由于用户马虎、保管不善或轻信他人，导致网银个人账户信息外泄而遭窃。”
姚建芳所说的“黑色产业链”是从制造木马病毒、传播木马到盗窃账户信息、第三方平台销赃、洗钱，一条分工明确的网上产业链。
对此，姚建芳的建议是：“首当其冲的应该是辨别真假网站。网络购物尽量避免使用搜索引擎等第三方途径登录网银。在选择网络支付前，要先通过多种渠道查询、核实支付对象信息的真实性，避免点击可疑链接。”
“避免密码单一性。”网经社主任曹磊在接受《国际金融报》记者采访时建议，“最好不要把自己的出生日期、家庭电话号码以及自己的身份证号码作为密码，应选择有代表性的数字和字母混合的方式设定密码。同时，消费者尽量避免在公用的计算机上通过网上银行进行交易，防止数字证书等相关资料落入不法分子的手中。”
支付宝有关负责人告诉《国际金融报》记者：“建议用户慎点不明链接。警惕各种垃圾邮件，尤其是邮件里的超级链接，不要轻易相信邮件里的各种虚假信息。更不要轻易点击通过QQ、旺旺、MSN发送的不明链接。”
从支付平台的角度，应该如何避免客户信息被盗？支付宝安全专家子玄告诉记者：“支付机构对客户身份信息和支付业务信息的保管期限自业务关系结束当年起至少保存5年。以备后继可能的政策性查询、审计和检查使用。”
“微信支付所有的账号信息和绑卡信息在传输过程中，都是采用多重加密传输，并且在后台进行严格的加密存储。”腾讯有关负责人告诉记者，“微信支付所存储的服务器为微信支付单独的机房专区，采用金融银行级网络架构和多级防火墙保护，由人民银行每年强制检测，确保存储安全。”
“惊悚实验”警示资金安全
“如果手机丢了，任何人仅凭借手机接收到的校验码就能找回你的支付宝密码，解除你的数字证书，盗空你的支付宝账户”。最近一段时间，微博和微信朋友圈里流传着这样一则“惊悚实验”。
不仅是支付宝，微信也躺着中枪。有网友“图文结合”地讲述了“如果客户将自己的微信账户和手机进行了绑定，那么手机丢了，捡到手机的人，也可以破解手机绑定的支付宝账户，并盗取里面的资金”。
网友演示的内容是不是真的？和支付宝或微信绑定了的手机被别人捡到，账户内的资金会轻而易举地被盗走？
小微金融服务集团首席风险官胡晓明通过支付宝官方微博正式回应称，这种说法纯属谣言。《国际金融报》记者就此向支付宝安全专家子玄进行了求证，他告诉记者：“支付宝安全基于一整套的风险防控体系，智能风险识别系统会对用户的每一笔支付、每一次找回密码等关键操作进行智能识别，对不同风险级别的操作会要求不同的安全校验。”
“有用户根据帖子模拟成功，那是因为这些用户就是在自己的电脑上模拟自己‘真实被盗’的过程，而支付宝的风控系统已经识别到这一点。”子玄向记者透露，“如果真有别人捡到你的手机，想在别的电脑上找回你的支付宝密码，他需要‘手机校验码+身份证信息’等更高安全级别的校验，绝对不可能仅通过一个手机校验码就找回你的密码。”
记者了解到，支付宝的风险概率一直被控制在十万分之一以下，远低于国外行业1%至2%的风险水平。2013年，支付宝联合国内外反钓鱼组织及各浏览器厂商，共计屏蔽钓鱼网站155282个，此外支付宝还联合全国14个地市公安机关，针对手机木马等盗用、欺诈支付宝用户案件开展打击，全年打击作案团伙16个，抓获犯罪嫌疑人35名，涉案总金额超千万元。
那么，微信账户的资金安全系数又如何呢？腾讯公司公关部有关负责人告诉《国际金融报》记者：如果客户的微信绑定了银行卡，密码被盗或手机丢失，可以立即冻结微信号或者QQ号，杜绝他人登录微信。之后，用户要重新启用该账号，需要重置密码并通过身份验证，方可解冻。
“此外，我们对微信号还设有一个单独的设备锁，建议使用微信的时候能够提前绑定一下账号，绑到手机之后，任何第三方即使有您的密码，都无法登录您的微信号，因为微信是跟您自己的手机绑定的。”上述负责人强调，“微信其实有一套完善的风控系统，通过用户支付行为等综合分析，对有风险的支付进行阻止和拒绝。同时，微信支付本身有额度限制，根据不同的商户性质有不同的额度控制。”
手机支付是否安全
为证实手机支付的安全性，《国际金融报》记者用同事的手机做了一项实验，假设捡到一部装有微信并开通微信支付的手机，然后开始对手机微信进行“资金盗取”。
记者首先对微信绑定业务情况进行测试。拿到同事的手机，然后打开手机微信。登录可交易界面，在进入交易环节时，将遇到第一道安全屏障，输入微信支付密码，这时记者并不知道同事手机的微信支付密码，只能进行密码重置。
进入重设支付密码环节后，会提供两种方式：一种是修改支付密码，需要输入旧密码，而记者完全不知道该手机的旧密码。另一种方法是假装“忘记密码”，则需要重新绑定此前绑定过的银行卡，而重新绑定银行卡需要的信息非常复杂，包括本人的银行卡号、持卡人姓名、证件类型、证件号码等信息，于是，找回密码这条路也很难实现。
“因此，如果用户只是单纯地丢了手机，他人是无法仅凭一部手机盗取银行资金的。”腾讯公司上述负责人强调。有意思的是，《国际金融报》记者同时对支付宝账户进行了测试，得出了相同的结果。
为什么网友的测试结果与记者截然不同？姚建芳给出的解释是：“网友的截图确实是支付宝和微信的官方截图，但是，该网友是在自己的电脑上进行测试，确实存在支付宝方面解释的可能，因为是自己的电脑，支付宝后台降低了风控级别；当然，也不排除支付宝和微信修补了相关的系统漏洞。”
“如果客户的资金在转账过程中真的被盗，微信支付与中国人民保险已经达成协议，用户如果因使用微信支付造成资金被盗等损失，经核实属实，将可获得保险公司的全赔保障。”腾讯公司上述负责人透露。
子玄告诉记者：“其实，支付宝资金安全由中国平安全额承保，赔付金额无上限。”记者了解到，该保险由中国平安财产保险股份有限公司承保，用户今后使用快捷支付付款，如果发生被盗，平安产险均将给予100%赔付，确保资金万无一失，而所有投保费用均由支付宝承担。
平安产险新渠道事业部副董事长卢跃分析说：“这次和支付宝在快捷支付资金保障险上的合作，是平安产险通过产品创新为互联网的经营者、参与者和用户提供风险解决方案的新尝试。据悉，目前支付宝快捷支付的风险率不到十万分之一，远低于国外网上支付的资损水平，从概率上讲，其几率堪比飞机事故的概率。”（来源：国际金融报 文/张颖）
