观看此文章长知识

潇潇MY

好文！风险分析师原创：支付行业的风险管理分析与典型案例分享分享到：[url=]微信[/url]更多[url=]

4

[/url]

摘要:  

　　a.风险是永远存在的，只要有利益存在，所有的攻击和尝试都不会停止; 　　b.风险和损失是一个动态平衡的过程，我们所追求是平衡好风险和止损; 　　c.我们每设置一条风控规则，都有可能是对用户体验的伤害; ...

　　(本文作者曾在国内多个知名的大型支付公司从事支付风险防控，恰逢国内互联网金融风生水起、传统金融改革创新浪潮，深刻体会到大数据对金融行业的重要性。)

　　国内支付行业概况

　　2015年支付业务统计数据显示，截止2015年底国内发卡行量54.42亿张，借记卡50.1亿张，贷记卡4.32亿张, 2015年国内银行卡消费总额为55万亿。由此可见，国内支付行业的规模是非常大的，目前国内总计有267家持牌机构，而2015年国内银行卡欺诈总计发生额超100亿，可见伴随而来的整个风险敞口也是比较大的。因此，在2015年12月28央行出台《非银行支付机构网络支付业务管理办法》，自2016年7月1日起实施，同时央行将于2016年开展支付机构评级，风控能力是支付机构等级评判的一项重要因素，其中 A类机构：要求II类、III类实名帐户应超过95%。

　　支付流程简介

　　1、传统四方模式支付流程

　　a.银行卡持卡人选择商户，发起交易请求;

　　b.商户通过终端机具(POS机)发起交易，并按照报文规范，将交易发送给收单机构;

　　c.收单机构上报交易请求至转接清算组织(银行卡组织)，银行卡组织将相关交易请求转接至对应的发卡行;

　　d.发卡行完成交易授权，并反馈授权结果，经转接清算组织传递至收单机构;

　　e.收单机构将交易授权结果反馈至终端(pos机)，通知商户交易结果;

　　f.交易完成，银行卡扣款完成。

　　交易资金同样通过第三方支付机构T+1日轧差清算给交易相关发卡行及商户。支付机构实时到账基本通过机构先行垫付实现。

　　快捷支付原理

　　快捷支付指用户购买商品时，不需开通网银，只需提供银行卡卡号、户名、手机号码等信息，银行验证手机号码正确性后，第三方支付发送手机动态口令到用户手机号上，用户输入正确的手机动态口令，即可完成支付。

　　快捷支付渠道：快捷+代扣

　　快捷支付鉴权方式：四要素或六要素验证

　　支付机构面临的风险类型

　　1、欺诈风险

　　a.银行卡盗刷：持卡人否认银行卡账户扣款交易;

　　b.账户被盗：金融账户持有人否认账户中的扣款交易;

　　c.套现风险：持卡人通过非正常渠道套取信用卡内资金，易引发坏账、否认交易等风险;

　　d.退单：发卡机构或持卡人对原始交易有疑义，而向收单机构提出的拒绝付款。一般通过卡组织的差错争议流程实现。

　　发卡行退单拒付流程

　　交易欺诈防控流程

　　2、商户风险

　　a.违禁品销售(黄、赌、毒);

　　b.商户欺诈(虚假商户、假货商户等);

　　c.商户合谋欺诈(盗刷交易协助销赃);

　　d.商户接口盗用、滥用;

　　e.商户经营性风险(商户倒闭)。

　　商户风险防控流程

　　3、清算信用风险

　　因支付机构、发卡机构等支付相关机构倒闭引起的相关机构头寸不足等清算风险，一般预防措施是按照央行的监控要求，机构开展业务前需在央行、银行卡转接清算组织等机构留存一定量的保证金。

　　4、洗钱、操作风险等

　　洗钱、恐怖融资、员工操作引发的相关风险，根据国家相关法规以及监控机构的监管要求，主要通过监控、司法、内审、权限管理等方式防控。

　　交易欺诈案例

　　案例NO.1

　　伪基站发送虚假诈骗短信

　　典型案件：收到积分换现金短信，卡内资金被盗用

　　2015年2月，刘先生收到一条显示为“10086”发来的积分兑换现金短信，并附有网址。刘先生点入该网址后按提示先后输入身份信息、银行卡信息和密码。但之后，其卡片即发生盗用。交易商户为一游戏充值商户，因其同时经营实物产品，限额设置较高，致使该卡后续发生了近百笔的小额盗用。

　　后经警方抓获的嫌疑人交代，其利用网络改号技术冒充移动公司，并通过“伪基站”群发诈骗短信。短信中的网址为钓鱼网站并带有木马程序，以此获取用户银行卡信息并控制用户手机以窃取短信验证码。

　　案件解析

　　伪基站发送欺诈短信是当前无卡支付业务中逐渐增多的一种欺诈手法，且因持卡人手机被控制，无法及时发现盗用交易，不易被用户识破，对监控也有一定难度，因此该欺诈方式的危害性较大，且因涉及的人数往往较多，损失也相对较大。

　　主要欺诈流程如下：

　　应对措施

　　针对此类手法的防范，不仅依赖于机构自身对高风险特征的交易加强管控、按商品属性区分商户号并设置合理限额，以及对持卡人的宣传教育，也需上下游各行业的共同努力，加强对此类手段的屏蔽与防治。同盾秉承“跨行业联防联控”的核心理念，通过全局的海量数据库，从用户的交易行为特征、地理位置的变化等风险要素进行风险识别，并通过代理检测技术检测代理状况，识别真实IP，同时借助设备指纹技术，通过同盾数以亿计的设备指纹数据库，批量的挖掘出更多深层次的风险账户，及时掌握多账户协同作案趋势，使得欺诈分子无所遁形。

　　案例NO.2

　　篡改银行预留手机号

　　典型案件：篡改银行手机号至存款被盗

　　2013年4月，某行持卡人杨小姐反映其名下两张借记卡被修改了预留手机号后盗刷了两笔近10万元。欺诈发生主要是因银行手机客户端验证环节较薄弱，修改手机号时仅验证卡号、密码及原手机号，使欺诈分子在掌握相关信息后篡改了其预留手机号并用以接收盗用支付的短信验证码。而发生欺诈的商户为以纸业公司为名虚假注册商户，因收单机构入网时未严格审核其资质，且设置了过高的限额，商户仅入网两天即发生了大额欺诈。

　　案件解析

　　篡改银行预留手机号的欺诈在当前无卡支付业务中时有发生，此类手法持卡人一般难以及时发现，而交易监控的效果也较差，因此需要发卡行在手机号的管理上加强管控，也需要机构与持卡人加强信息保护，防止被不法分子利用。

　　应对措施

　　目前各类信息泄露事件使得欺诈分子能低成本地掌握大量用户信息，并通过撞库等手段进一步获得密码等敏感信息。

　　而部分银行对预留手机的管理存在漏洞导致持卡人手机号被篡改的情况时有发生。对此，不仅银行在此类风险防控上应加强自身手机库管理，行业各方也因加强信息共享与联动，降低此类欺诈手法的危害。同盾的手机实名认证目前可支持电信、联通的全网数据，移动正在各省逐步接洽中)，另外还有百万数量级的虚假手机号码库和通信小号数据库用以识别手机号码的欺诈风险。

　　案例NO.3

　　利用理财账户转移盗刷资金

　　典型案件：基金电商遇新型犯罪 银行卡资金被盗。

　　2014年12月，持卡人陈先生报案称其卡内13万元资金被人盗用转入了某基金账户，并后续被人转至其他银行卡中。后经警方查明，欺诈分子通过QQ群购买到了卡主身份信息及银行卡信息，并通过伪造的临时身份证以陈先生名义办了新的同名卡。而后其盗用陈先生银行卡购买基金并在换绑新卡后赎回。而这其中，基金公司在首次绑卡及换绑中仅验证了卡号、姓名、身份证号，未验证卡密或手机号及短信验证码。

　　案件解析

　　利用理财账户盗转资金近来欺诈尝试明显上升，而个别基金商户因业务中存在的漏洞，被欺诈分子利从而盗走资金形成损失。这不仅是因为个人信息存在泄露情况，更主要的原因是在商户绑卡验证、换绑策略、资金闭环等方面的漏洞所导致。

　　应对措施

　　目前，基金电商的欺诈尝试频繁且金额较大，并出现了通过此类手法诈骗持卡人，从而骗取持卡人其他资金的间接损失。对此，商户因从用户注册环节开始便加强管控，并通过增加验证强度、加强账户监控、确保资金闭环(理财资金执行原卡进出)等措施降低风险。同盾的复杂网络云分析技术，能有效的在注册、绑卡，换绑策略中，找出风险源头，在可能发生风险之前，提前预警。

　　总结：对支付行业风控的理解

　　a.风险是永远存在的，只要有利益存在，所有的攻击和尝试都不会停止;

　　b.风险和损失是一个动态平衡的过程，我们所追求是平衡好风险和止损;

　　c.我们每设置一条风控规则，都有可能是对用户体验的伤害;

　　d.欺诈的损失金额不小，尽管远小于信用风险，但对用户和商家的影响很大，因此我们要提高对风险的识别能力，做好事前的预警、事中的控制。

ljyanhong

行业概况

tony0708

看看。