您的位置首页  新型建材

二维码盗刷调查:聚合支付机构对商户资质审核不严

  二维码盗刷调查:商户资质审核成摆设?

  央行多次发文重申商户资质审核不得外包;盗刷案件风险源头出在聚合支付机构对商户资质审核不严

  4月21日至5月4日之间,四名消费者手持微信二维码在超市等待付款,在排队的几分钟里,被人从背后通过手机扫码,盗刷500元到900元不等的资金,扣款方都是名为“一站式24小时便利店”的账户,根本不是超市收款。

  近日,重庆江北公安分局破获上述在超市收银处专门盗刷微信资金案件。重庆警方告诉新京报记者,重庆发生的消费者使用二维码支付时资金被盗案件,作案者就是利用了聚合支付APP“钱方好近”,在顾客背后通过APP扫描付款码后,输入收款金额,实现盗刷资金。

  钱方好近商户入驻申请表页面。

  当下,无论是在大型超市还是街边小店,人们都可以不用现金,通过手机支付来实现购物、消费。简单来说,单一的收款方式已经很难满足顾客的需求了,商家准备不齐全就有可能丢了一笔生意。因此,融合了微信、支付宝等多种支付渠道的聚合支付成为商家更好的选择。

  新京报记者调查发现,通过聚合支付相关APP,有些手机也可以变成扫码枪,所以就出现了有人拿着手机偷偷扫码从而实现盗刷的事件。据调查,原本由第三方支付机构负责商户的审核,在实际操作中这部分审核权也有可能违规外包给聚合支付机构。但是,一些可全程在线上进行审核的聚合支付,则给了部分“商户”弄虚作假的空间。

  收钱吧员工在朋友圈发布的开通申请示范。

  那么,谁来保证商户的真实性?

  审核

  钱方好近可全程线上审核、收钱吧号称“10分钟办理”

  重庆警方对新京报记者表示,不久前重庆发生的消费者使用二维码支付时资金被盗案件,作案者就是利用了聚合支付APP“钱方好近”,通过APP扫描顾客的付款码后,输入收款金额,即实现盗刷资金。

  一般来说,扫码需要通过扫码枪等硬件设备进行,消费者展示微信或支付宝付款码,商家通过硬件设备来完成扫码收款。根据钱方好近官网介绍,其为商户提供好近快盒、扫码枪等硬件设备。除此之外,钱方好近APP上还有扫码入口,通过这一功能可以将手机变成扫码枪,直接用手机扫码也可以实现收款。

  在上述案件中,一个关键性的步骤是,作案者伪装成商家,在钱方好近平台上通过了审核,从而以商家身份进行收款。重庆警方告诉新京报记者,该案嫌疑人在他人店铺中,趁店主不注意拿着身份证拍了照片,假装自己是店主,然后用这些照片在软件上进行注册。

  那么,钱方好近对于商户资质的审核步骤到底是怎样的?记者以需要申请小白盒收款设备的名义咨询钱方好近客服,客服表示,商户申请注册过程需要钱方好近的业务员到店办理。在钱方好近客服的描述中,大部分审核工作均由业务员来完成。

  但是,随后联系记者的钱方好近业务员告诉记者,身份证、银行卡等证件信息,可以直接在线上发送照片给他。至于店铺门头照和店内环境照,该业务员表示,“如果你这边能提供我也可以不过去。”收到相关照片后,他即可发放“小白盒”。

  上述业务员还表示,钱方好近APP也可以实现手机收款功能,与在APP上注册商户需要审核的信息类似,“需要来店里拍照片,你这边能提供给我也可以的”。

  另一个聚合支付类产品“收钱吧”同样可以实现全程线上审核。除获得专用收款设备外,“收钱吧”员工告诉新京报记者,“手机APP也可以扫客人”。这意味着,使用“收钱吧”的商户只要下载其APP,也可以将手机变为扫码枪。“收钱吧”官网中的“收钱吧APP”介绍图显示,该APP首页确有一个收款入口,配文称“APP直扫收款或搭配收款工具收款”。记者尝试在APP上操作时发现,必须要先通过商户审核才可进首页。

  6月2日,记者在“收钱吧”官网填写了商户开通申请并咨询客服人员后,一位员工提出加记者微信沟通。该员工告诉记者,开通需要五份材料:申请人身份证正、反面照片,申请人与店铺门头合照一张,店铺内景照一张,申请人在店里手持身份证拍一张照,以及收款银行卡的正面照片。

  “照片通过微信发给我,立刻就能办理,当天设备就能从上海寄出来。”上述员工表示。记者注意到,他在自己的一条朋友圈中称,“10分钟办理,半小时可用,支持花呗、信用卡、微信、支付宝等多种支付方式。”

收钱吧员工在朋友圈发布的推广内容。

  商户

  央行严禁商户资质审核外包,仍有服务商称可完成审核

  为什么钱方好近与收钱吧的客户能迅速通过审核,这一步骤到底由谁来执行?重庆二维码被盗刷案件背后,风险到底源于何处?

  从记者调查过程来看,风险源头出在聚合支付机构对商户资质审核不严方面。然而,实际上,商户资质审核本就不属于聚合支付机构的工作,应是其背后的持牌支付机构的工作。

  据了解,所谓审核,即聚合支付机构实时将商户资料传到收单机构后台,合规人员在后台即时审核。如果审核权力下放到聚合方(外包机构),属于违规。而此前公开报道显示,市场也存在这种情况。

  记者随机调查了一些聚合支付机构的审核情况,其中“码大大”客服明确表示,审核工作由他们公司来做。

  一家第三方支付机构人士告诉记者,聚合支付不属于支付机构,没有牌照,商户资质审核也不在聚合支付,如果在,就涉嫌核心业务外包。“应该看聚合支付的支付通道是哪家。”另一家机构人士也明确,聚合支付是服务商,只有持牌机构才有审核资质。

  目前,聚合支付机构并不需要获得支付牌照,央行曾在相关文件中将聚合支付服务商定位为“收单外包机构”。也就是说,聚合支付服务商适用于对外包服务机构的管理办法。《中国人民银行关于加强银行卡收单业务外包管理的通知》中明确提出,收单机构不得将特约商户资质审核交由外包服务机构办理。此后央行发布的多个文件都反复重申商户资质审核不得外包的原则。

  央行在2017年1月下发的《关于开展违规“聚合支付”服务清理整治工作的通知》(下称《通知》)指出,在相关业务开展过程中,部分聚合技术服务商以大商户模式接入收单机构,违规开立支付账户,或实质性从事特约商户资质审核、受理协议签订、资金结算、收单业务交易处理等业务。

  苏宁金融研究院研究员黄大智对记者表示,从合规角度讲,聚合支付是收单机构的外包商,央行明确过三点,除了聚合支付作为收单机构的外包商,不负责商户的证件审核外,聚合支付也不能碰资金结算,涉及二清和无证经营支付业务,同时不能碰核心交易数据,正常来讲只有银行和支付机构才能碰。

  责任

  审核导致损失,聚合支付机构或被追责

  手机在顾客背后扫码就能盗刷,暴露了聚合支付机构对商户审核不严的问题。对此,黄大智分析称,手机可作为扫码枪是随着技术进步出现的问题,兴起的时间并不长,就像现在很多手机自带NFC(近场支付),是以前手机做不到的,“也是一个安全和风险博弈的过程。”

  据黄大智介绍,有持牌的大型支付机构也在开发把程序内置到手机,但更多或是出于降低成本的考虑,因为以前做一个扫码枪需要付出成本,内置软件的成本相对更低。更重要的是,大型的支付机构对自己的品牌和合规程度非常重视,只有一些小的聚合支付厂商为追逐利润时对合规会有点轻视。

  聚合支付机构发展的商户,理论上仍需经过第三方支付机构的审核,但这一步审核在实际操作过程中被弱化。正如前述业内人士透露,实际操作中,很多第三方支付机构把审核的步骤也外包给了第四方(聚合支付也被称为第四方支付)。

  以微信支付为例,如果商户自己直接申请接入微信支付,需要在微信支付商户平台页面提交营业执照、组织机构代码证、法人代表身份证、对公银行账户等资料,等待微信支付团队的审核。如果商户通过聚合支付机构接入微信支付,按照目前业内较为普遍的审核模式,只需要身份证、银行卡等信息。也就是说,通过聚合支付接入的商户,即使下一步聚合支付将商户资料提交给微信支付进行审核,也并没有审核营业执照等核心资料。

  此外,审查的一个难点在于高成本。易观分析师王蓬博表示,商户涉及的行业很多,线下人力和拓展成本、维护成本等都很高,加上聚合支付机构间都在争夺商户,所以审查有漏洞。

  行业的激烈竞争在记者接触的“收钱吧”员工身上也有所反映。记者咨询开户事宜后,该员工多次催促记者筹备材料提交。其朋友圈内发布的状态,也几乎都与销售产品有关,例如“物料整装待发,各位资料准备得怎么样了!”“周六正常上班,需要办理的商户联系我发资料即可”等。

  如果在审核这一步出现问题,导致风险或损失,应该向谁追责?业内人士表示,如果监管部门追责,必然是处罚持牌支付机构,但收单机构与聚合支付机构之间还会有内部责任划分,可能收单机构会向聚合支付机构追责。

  中闻律师事务所合伙人李亚认为,聚合支付公司本身并不具有第三方支付公司的职能,只能使用第三方支付公司的通道来开展支付业务。而第三方支付公司具有对商户的审核义务。因此出现问题可以通过其商户使用的支付通道,也就是商户编码中的一个字段(用于区分使用的不同第三方支付公司)来追责。

  黄大智认为,如果遇到违法违规,要具体分析。他分析称,这涉及行业监管难题。这个链条上有三个角色:聚合支付、支付机构和银行。其中,聚合支付厂商把这个流程接下来之后,第三方支付机构结算时要走收单行,这就涉及收单业务是谁做的,是支付机构还是银行。聚合支付机构有配合调查的责任,找到商户的资质、开户时提交的资料、日常交易等。

  利益

  拉卡拉、京东金融、富友等持股聚合支付机构

  为什么在实际操作中,聚合支付机构“承担”起了商户审核的工作?第三方支付机构与聚合支付机构之间是否存在利润分成,这是否是促进它们积极介入这一环节的原因?

  新京报记者通过“钱方好近”的客服了解到,目前扫码的费率是0.38%,也就是说,一笔100元的交易,钱方好近就有0.38元的费率。

  一位支付机构内部人士表示,(第三方支付机构与聚合支付机构之间)的确存在(利润分成),业内称之为“分润”,但行业没有一个大致比例范围,都是双方自己谈的。黄大智介绍,比如,正常情况下,收单机构给商户的费率是千分之六、千分之七,那么可能中间会有一部分给到聚合支付厂商,一般就是万分之五到万分之十,可能比这个还要低,后者可获得的就是这部分价差,相对利润很少。不过,随着收款金额的增加,利润也是相应增加的。

  上述人士还提醒,需要警惕聚合支付机构二清和跑路的问题。“近年出现过一批聚合支付厂商跑路问题,有的聚合支付厂商违规二清,截留了资金,带着这笔钱跑路了。”

  除了费率、分润的“诱惑”所在,第三方支付机构与聚合支付合作有深层的原因。上述第三方支付机构人士给记者提供的一份资料显示,双方的投融资背后有着重要补缺逻辑:对第四方机构而言,第三方机构能够带来稳定的支付通道。而对第三方机构而言,2018年以前,支付机构之间的直连没有合规背书,要想通过服务支付宝、微信支付两大巨头来分羹移动支付的红利,投资聚合服务商是布局聚合业态最为直接有效的手段。

  与此同时,新京报记者调查发现,一些聚合支付方与第三方支付机构有着股权关系。据企查查显示,推出“收钱吧”的上海喔噻互联网科技有限公司,第三大股东是北京拉卡拉互联网产业投资基金(有限合伙),持股6.81%;该基金的第一大股东是拉卡拉,持股37.9%。而上海富友支付服务股份有限公司持有武汉利楚商务服务有限公司(产品为“扫吧”)9%的股份。

  近期另一家巨头的入局也引得市场关注。根据企查查,今年6月3日,另一家聚合支付公司哆啦宝(北京)科技有限公司发生投资人变更,京东旗下的京东汇正(天津)信息科技有限公司成为其唯一股东,而北京京东金融科技控股有限公司持有后者100%的股份。

  ■ 乱象

  聚合支付越界审核商户,接入赌博类通道

  虽然在生活中我们可以常常享受到聚合支付带来的便利,但是大部分人对“聚合支付”一词感到陌生。

  聚合支付的作用就在于,它同时涵盖了两种及多种支付渠道,消费者只管消费而无需关注店铺到底需要哪种收款方式。同时,聚合支付还能帮助店铺记录资金是通过哪种收款渠道进来的。

  业内人士分析称,聚合支付相对于支付宝、微信支付等第三方支付平台而言,相当于在第三方支付的基础上进行了技术融合,属于“第四方支付”。对于消费者和商家来说,聚合支付确实有一定的便利性。

  聚合支付的模式,实际上是第三方支付机构将线下市场拓展、收款机具布放等工作,外包给了聚合支付机构,即“第四方支付机构”。新京报记者注意到,2017年发布的《中国人民银行关于持续提升收单服务水平 规范和促进收单服务市场发展的指导意见》(简称《指导意见》)指出,部分收单机构或聚合技术服务商创新开展“聚合支付”服务,为特约商户提供了融合多个支付渠道、一站式资金结算和对账的技术解决方案,满足了特约商户对降低系统投入和运营成本、提高资金结算和财务对账效率的实际需求。

  不过,《指导意见》同时画出多道红线,包括严禁收单机构将特约商户资质审核、受理协议签订、资金结算、收单业务交易处理、风险监测、受理终端(网络支付接口)主密钥生成和管理、差错和争议处理工作交由聚合技术服务商办理。严禁聚合技术服务商以任何形式截留特约商户结算资金,从事或者变相从事特约商户资金结算。

  在实际的操作中,聚合支付突破红线的行为时有发生。新京报记者在调查中发现,有的聚合支付机构存在越界审核商户的情况。有业内人士表示,近两年聚合支付发展时出现了一些有争议的地方。比如,有一些聚合支付公司接入一些赌博类的通道,以此赚取灰色收入,还有的涉及信用卡套现等领域。

  这些大多是监管重点打击的领域。据“温州网警巡查执法”公号披露,近日,成功摧毁一个为赌博网站提供充值、提现等服务的“第四方支付”平台,共抓获犯罪嫌疑人31名,短短7个月时间流入资金达数十亿元。该赌博网站采用易某科技工作室、易某某聚合支付平台和T某支付等第四方支付平台与赌博人员进行结算,然后这些第四方支付平台再同赌博网站结算。短短7个月,仅一家公司的资金流水就达7亿元,几家公司加在一起高达数十亿元。

  据披露,在犯罪现场,犯罪嫌疑人购买大量手机架设“手机墙”,这些手机屏幕上不断地更换着新的收款二维码,接受全国各地赌客的赌资。

  新京报记者 顾志娟 宓迪 程维妙

免责声明:本站所有信息均搜集自互联网,并不代表本站观点,本站不对其真实合法性负责。如有信息侵犯了您的权益,请告知,本站将立刻处理。联系QQ:1640731186
友荐云推荐