第三方网络支付安全问题探究

第三方网络支付安全问题探究

——以支付宝为例【摘要】

【关键词】网络经济网络交易第三方支付支付安全支付宝

前言：

曾经有人预言，世界的明天将属于网络，这句话在21世纪的今天得到了应验。21世纪毋庸置疑是一个属于网络的时代，而网络应用，特别是以电子商务和网络交易为核心的网络应用的全面繁荣，也宣告着这个世界经济时代的到来。

中国，作为一个正在崛起的发展中国家，也正沐浴在网络经济的阳光下。特别是近年来随着网络的普及和网络用户群体的迅速成长，我国有关网络经济的各行业发展迅速。毫不夸张的说，网络经济不仅作为一种虚拟经济正促进着中国经济整体的生产、流通、技术等各个方面发生着重大的变化，而且网络以其自身的优势也给人们生活与生产带来了巨大的变化。

一、网络经济的发展及其所带来的影响

比尔盖茨说过“21世纪，要么电子商务，要么无商可务。”的确，在我国网络经济迅猛发展的背景下，电子商务和网络交易作为核心也正在飞速的发展。同时电子商务和网络交易作为最新的商品交易模式，也极大的改变了人们的生活方式。

具体的，我们可以通过艾瑞发布的官方数据图表来进一步了解：

图一：2009-2010中国网络经济规模及增长率

图二：2009-2010中国网络经济占GDP比重

从图一和图二，我们可以看到中国网络经济市场规模稳定增长，

2010年第一季度规模达353.4亿元，同比增长67.9%。，而且网络经济占GDP的比重总体呈上升趋势，在2010年的第一季度已经达到了0.44%。可以说，网络经济作为推进我国经济发展的重要一级，正发挥着越来越重要的作用。

图三：中国电子商务整体交易规模

从图三我们可以看到，电子商务作为网络经济中的各个行业中的核心行业，近年来正迅速发展。根据艾瑞的统计研究，2009年中国电子商务整体交易规模达到3.6万亿，同比增长22.9%。，并且中国的电子商务正处在快速发展时期，预计2013年将达到12.7万亿元。而作为电子商务中最重要和最核心的部分——网络购物，也正伴随着电子商务迅猛发展。艾瑞咨询推出的《2009-2010年中国网络购物行

业发展报告》显示，2009中国网络购物市场依然延续了近两年来的高速增长，2009年全年网络购物市场交易规模接近2500亿，达2483.5亿元，同比增长93.7%。网络购物的交易规模占社会消费品零售总额的比重有望攀升至1.98%。同时，网络购物用户规模有望突破1亿，其在网民当中的渗透率进一步增加，可达28.2%，而且网络购物在电子商务中所占的份额也进一步的增加，可以说，在网络经济各个行业当中，网络购物是成长性最佳的热点行业之一。

我想我们从上面的图表和数据，我们可以得出这样的结论：网络经济在促进我国经济发展的同时，以电子商务和网络交易为核心的网络经济也正极大的改变人们的生产和生活方式。“网络经济时代”的到来，特别是近年来电子商务的迅猛发展，使得网络商品交易崛起为一股新兴之秀，而其中的网络购物行业更是逐渐深入人心，正成为商品交易的最新模式。

二、网络支付安全问题现状

据CNNIC《第26次中国互联网发展状况统计报告》统计，截至2010年6月中国网民规模已达4.2亿，互联网普及率攀升至31.8%，而随着网络的普及，人们的生活方式也发生着明显的变化。另外中国电子商务研究中心发布的最新监测报告显示，2010年上半年，我国个人网店数量已达1200万家，网购用户突破了1.3亿。我想通过上面的数据，我们可以发现一个不争的事实:伴随着“网络交易”这一最新的商品交易模式深入人心，越来越多的人通过网购的方式来满足

生活和日常所需。可以说，由于网络购物相比于出门购物的快捷、可选性多等优势，网络购物正成为众多人心中的第一选择。

那么，我们就要问了，发展迅猛的网络交易，特别是现在备受推崇也最贴近人们生活的网购方式，是否除了快捷便利、可选择性多等优点外，不存在任何问题呢？答案当然是否定的。

为了更清晰明确地了解人们对网络购物的担忧，中国金融认证中心曾做过一份《对于网络支付用户行为特征的调查》，调查的结果显示：不愿使用网上购物的人们表示，网络交易的安全性是他们接受网上购物的最大顾虑，他们对网络支付最担心的是被人恶意侵犯隐私和被人偷盗银行账号及密码。调查中，有34％的受访者认为安全体系还需进一步完善，25％的受访者认为对网上支付的监管应该加强，17％的受访者认为应当尽快完善相关法律，16％的受访者认为售后服务还有待加强。可见，不使用网络支付的主要因素都与安全有关，安全因素已经成为制约网络支付深入发展的瓶颈，因此要让更多的消费者接受网上购物这一新型购物方式，必须创造一个安全、便捷、良好的网上消费环境。

而在网上支付的各种方式中，据CNNIC《2008年中国网络购物调查研究报告》调查显示，目前比例最大的第三方支付方式是支付宝，且第三方支付已经在网络支付方面占据主要地位，其次是才是网上银行支付方式。具体的我们可以看下面的表格：

表一：网络购物网上支付方式及比例

网购网上支付方式网购网上支付各种类比例

支付宝76.2%

网上开户银行直接支付32.5%

信用卡支付11.6%

财付通 5.8%

手机支付 1.8%

安付通 1.3%

贝宝0.8%

云网支付0.6%

环迅支付0.1%

而第三方支付方式虽然方便快捷，但同时也普遍存在着许多安全方面的威胁，我想主要问题可以概括为以下几个方面:

(1)网络钓鱼导致账户信息泄露

网络钓鱼是第三方支付中最常见的安全威胁，一般是指当用户网上交易进入支付环节时,被诱导点击不安全的链接,进入与网银登录界面几乎一样的伪造界面,输入用户名和密码登录后,其银行账户和密码就被伪造页面的恶意用户全部获取。可以说这种方式非常隐蔽,警惕性不高的用户往往在账户内的资金发生较大改变时才会发现,因此造成的损失也常常较为严重。

而造成网络钓鱼的原因大致可以归为两点:一是该第三方平台本身存在安全漏洞,被恶意用户利用篡改了正常的页面,或利用平台账户发送了伪造的电子邮件诱导用户中招;二是用户安全意识不足,轻信卖家提供的链接或电子邮件,主动点击了不安全的页面。

(2)未提供安全的登录方式导致账户信息被盗

使用HTTPS安全登录可以很大程度上保障用户在登录过程中的安全性,目前规模较大的、用户数量较多的第三方支付平台大都采用这种安全登录方式,但仍有不少小网站未采用此方式,一旦被恶意用户盯上,该平台上账户信息被盗取的风险极大。

(3)第三方支付平台的设计问题导致信息泄露

目前不少大型第三方支付平台要求用户提供真实姓名、联系方式、住址、银行账号甚至身份证复印件,作为交易双方信用担保的凭证,这是一把双刃剑,一旦网站设计有疏漏,这些信息很容易泄露。据有关资料显示,在2006年6月,由于安全漏洞被利用,某第三方支付公司的数据被窃取,约4000万张信用卡资料被泄露,我们可以想象这后果是十分严重的。

(4)第三方支付平台隐私政策不合理

由于第三方平台掌握了大量用户的真实信息,它除了应采用技术手段进行保护之外,还应该以文件、政策或公告的方式在网站上公开对用户信息进行安全承诺。但目前网站隐私政策的普遍不完整,内容不合理,免责条款过多,不少网站公然将黑客、病毒等引发的安全问题当做“不可抗力”,推卸责任。用户为了使用其服务只能同意该条款,导致发生问题时维权艰难。

(5)网站服务终止或权利人发生转移时个人信息不能得到保护

由于目前第三方支付行业竞争激烈,一些竞争力不足的第三方支付机构必将被淘汰,而这些公司掌握着大量的用户信息，这些信息应该属于保密信息予以严格保护,但第三方平台目前普遍都没有这方面的承诺,甚至有的网站将“本网站可以随时终止服务”作为服务协议的一部分迫使用户默认。

而本文正是基于支付安全对消费者网络购物的的至关重要，又考虑到支付宝作为第三方支付平台所占的绝对地位，是一个极具代表性的第三方支付机构，因此希望能以支付宝为例，通过对消费者网络支付安全问题的探究，提出解决消费者网络支付安全问题的可行性设想。下面将以支付宝为例进行分析：

三、以支付宝为例谈网络支付安全的

(一)支付宝概述

支付宝，是淘宝针对网上交易而特别推出的安全付款服务，其运作的实质是以支付宝为信用中介，在买家确认收到商品前，由支付宝替买卖双方暂时保款的一种增值服务。所以从实质上讲，支付宝属于信用担保型支付平台，在网上支付过程中起到信用担保和代收代付的作用。

作为买卖双方交易过程的“中间桥梁”，支付宝从众多厂商竞逐中脱颖而出，以其特定的技术优势，细分的服务市场，在电子商务中的第三方支付市场中大显身手。2003年10月，阿里巴巴创办的支付

宝网站首先在淘宝网推出，就迅速成为会员网上交易通用的支付方式。2004年，支付宝实现了独立运营，从其母公司独立出来成立了支付宝公司。2005年支付宝公司“用支付宝，网上无贼”等安全服务概念频繁出现在众人面前，并捧走了由《电子商务世界》杂志主办的“2005年网上支付高峰论坛”的“最佳人气奖”。在由《21世纪经济报道》和《21世纪商业评论》联合发起的2005年“中国创造奖”中，“支付宝”荣获“2005年中国最具创造力产品”称号。而根据中国互联网络信息中心（CNNIC）2008年7月24日发布的数据，我国2.53亿网民数量中，使用支付宝的用户数已经接近了40％。因此，可以说支付宝在目前中国金融服务及网络安全并不十分完善的环境下，比较好的地保证了网上交易的安全。

(二)支付宝的运作流程与支付安全

支付宝作为一个市场份额最大，最受网络消费者喜爱的第三方支付平台，是否也存在着第三方支付安全方面的通病呢？如果存在，它自身又采取了哪些措施呢？它采取的措施是否能做到真正的“安全无忧“呢？采取的措施对于整个第三方支付行业又是否有借鉴的意义呢？带着这些疑问，我们来探析支付宝的具体运作流程与支付安全的关系。

我们先以下面的一个实例图示为参考：

（1）递交订单之后

（2）点击现在支付之后会直接跳转到支付宝支付，有两种情况，一种是网银支付，一种是第三方的支付宝支付，如下：

（3）选择交易方式一：支付宝交易

（4）点击支付宝交易，付款之后(再输入支付宝密码时，不能超过三次，否则支付宝会自动锁定支付宝，必须3个小时之后才能从新操作）

（5）输入账户名及密码之后出现以下页面：

（6）输入交易收货地址保存成功之后，出现以下：

（7）输入支付密码点击确认无误，付款之后，出现以下：

（8）支付宝交易成功，等待卖家发货。

（9）当收到货品之后，登陆支付宝点击交易管理，确认收货。

从上面的实例我们可以知道，和大多数的第三方支付平台一样，支付宝的使用流程大致有以下五个步骤：

（1）买家在淘宝网选中称心的商品，点击“立即购买”按钮，进入商品购买信息确认页面确认相应信息后，进入淘宝收银台，为商品支付货款。如果买家支付宝账号中有足够余额，可直接用余额付款。若买家支付宝账号余额不足，可以通过支付宝提供的链接通过十家主要的商业银行的网上银行，为支付宝账号进行“充值”，并为商品付款。（2）利用支付宝确认付款后，货款被支付宝扣除表现为资金已经被扣除，但此时货款没有到达卖家账户，而是被支付宝代为保管。与此同时，支付宝向卖家发出信息，表示买家已经付款。

（3）卖家接到系统通知，确认买家已经付款后，向买家发货，一般通过快递或者邮政ＥＭＳ物流渠道。

（4）买家在收到商品后，确认没有问题，即可向淘宝网确认收货。（5）买家确认收货后，支付宝向卖家付款，此时的付款意味着资金由支付宝转入卖家的支付宝账户，交易完成。

从上面的操作流程中我们可以发现，不管是支付宝还是其他的第三方支付工具，在整个第三方支付的交易过程中，货币支付是整个支付链的前端，用户将资金打入第三方支付平台中，然后使用该平台进行资金支付，当用户将支付动作完成后，才能进行接下来一系列操作，所以如何在开放的互联网中保证支付的安全是一个十分关键的问题。为此，支付宝不能不说是花费了大量的力气，实名认证、双密码、双数字证书管理、支付盾等许多措施都被很好地加以推广和运用。而具体的，我想主要有以下几个方面：

（1）“支付宝账户”设有登录和支付两个密码。登录密码，用于登录支付宝账户、查看账目等一般性操作；但凡牵涉到资金流转、用户资料修改的过程，还必须有支付密码。缺少任何一个密码，都不能进行资金的流转、用户资料的修改。

（2）“支付宝账户”都可设置密码保护问题。

可以说用（1）、（2）的方式，采用账户的登陆密码与支付密码相分离的采用双密码制度，在一定程度上防止了个人信息遭到非法利用。可是换一个视野，用一种角度，你就会发现虽然用户在登陆支付宝账户使用一组密码而使用支付宝进行网上支付时采用另一组密码，可以提升支付权在账户管理中的权限，防止登陆密码无意泄露导致的经济损失。但是，密码还是存在着过于简单或者固定几个密码没有改变的情况，因此不法者可能通过列举法或者利用使用者生日、重要纪念日等猜测密码而失去了密码应有的保密作用。另外，密码的传输过

程有可能被不法分子截取，而输入两次并不能减小这个风险。而关于密码保护问题的设置，也存在这不小被破解的可能。

（3）“支付宝账户”提现时，系统将自动检查用户自主登记的银行账户姓名与用户在支付宝注册或认证的姓名是否一致，否则系统将拒绝用户的提现申请。

（4）“支付宝账户”设有账户变动手机短信通知功能。每当有修改密码、使用支付宝账户余额付款、申请提现、取回密码、变更登记的银行账号、修改Email地址等操作，用户将会收到手机短信通知。

显然（3）、（4）两个措施对保护用户的支付安全和账户安全有很大的作用，但是和我们上面的提到的大多第三方支付平台要求用户提供真实姓名、联系方式、住址、银行账号甚至身份证复印件作为交易双方信用担保的凭证的通病一样。实名认证和手机短信认证，对于网络钓鱼和短信诈骗来说，都是一个很大的漏洞，很容易导致用户的身份信息和账户信息被泄露。

（5）支付宝推出的数字证书，从技术上摆脱了普通六位密码验证。用户安装了数字证书后，即使被黑客盗取账号和密码，如果他没有用户的数字证书，也无法动用其账户，就算黑客监控了网络数据传输，也无法破译其内容，因此数字证书这一支付要件也在很大程度上捍卫用户资金的安全性。

虽然如此，但是由于使用者的疏忽而忘记导出数字证书而导致的在系统重装或临时在他人电脑上支付宝账户无法使用的情况也不少

见。而且，数字证书并非必选项，而是可选项，对于用户来说，并没有被要求强制安装，这也有可能给不法分子造成可趁之机。

从上面文字，我们不难发现支付宝在如何保障用户支付安全这方面的确付出了很多心血，但是还是存在着大量的用户上当受骗的事实告诉我们，仅仅是依靠支付宝等第三方支付平台所做的努力是远远不够的。如何保障网络支付的安全问题，并非是简单的第三方支付平台一方的事情，它是一个社会的综合性的系统的工程，需要多方的努力与合作。

四、建构安全的网络支付环境的几点设想

(一)强化国家立法监督和保障

对于中国这样一个逐渐成长的庞大网络交易市场，通过网络支付的方式已经深入人心。然而目前网络支付方式仍存在着较多的漏洞，尤其是法律法规的保障体系仍然十分不健全，不能有效的保障网络支付中各方的权益。所以加快这方面的立法保护刻不容缓：（1）健全《电子商务法》的体系建设，尤其是针对第三方支付中可能出现的各种不正当竞争和显失公平的现象，以此弥补在网络交易中各方权益的空白；

（2）完善《消费者保护法》中有关消费者网络交易中所可能出现的问题，如网络交易中的知情权、选择权、消费者隐私权和个人数据的保护等，这些都是消费者一项非常重要的权益，也都是极易在网络交易中被人所忽视的权益，在交易双方互不见面的虚拟网上交易中，

消费者无法及时从其他渠道得到有关产品与服务的真实信息，其选择或决定大多是基于网站所提供的信息而做出的，在某种意义上阻碍了消费者自由意志的表达而且常常迫使消费者接受一些实质上不公平的交易条件。

（3）完善《电子签名法》电子签名法的正式颁布和实施为规范我国的网络支付行为奠定了基础，为识别电子商务双方的真实身份提供了保证，然而在本法中仍存在着许多的空白处，同时推动电子签名和电子认证在网络上的广泛应用，借此加强网络支付行为的安全保障。

（4）如果必要，可以增加在网络交易中追加欺诈一方的刑事责任，借法律来规范电子商务市场这种新型的、无形的交易市场良性运作。

(二)强化政府对第三方网络交易安全中的导向监督作用

网络交易作为市场经济发展的产物，其不同于有形的市场模式，其管理难度远远高于现实的经济交易，这也给政府管理提出了新的难题。但是如何正确处理好网络交易中各方的利益，不仅有助于跨地区的经济快速发展，加快市场经济的新一轮转型升级，更是直接关系到广大网络交易用户们的切身利益。具体的，我想我们可以从以下几点着手：

（1）健全成型的社会信用体系，尤其是第三方的社会信用体系。缺乏市场化程度较高的信用评估体系是目前我国行政管理难以到位的主要缺陷之一。在信用制度发达的西方国家中，拥有市场成熟度较

高的信用评估体系，它们对电子商家以及第三方支付平台进行正确的信用评估，借政府的信用为其提供公正的、中立的信用评级，尤其在对信用要求较高的电子商务中大有用武之地，在网络支付环节由于信用缺失导致安全问题的可能性也会大大降低。

（2）加强第三方支付平台的行政监管。第三方支付平台作为一个无形的中介公司在网络中出现，其行为类似于民事行为中的代理，致使政府行政管理部门对于网络代理中的监管缺失。根据第三方支付业务与网络运营和金融业务融为一体的这一特点，政府应当指定或成立一个专门的机构来对其进行指导与管理，而在实践中，与第三方支付业务有一定关系的如人民银行、信息产业部甚至银监会等部门都可以对网上第三方支付业务的某一方面进行管理。然而目前缺少一个明确的、全面的第三方支付业务监管机构，这不利于第三方网络支付业务的健康安全发展，以及保障广大消费者的权益。

（3）公平分担网络支付中的责任。通常情况下人们通过网络支付进行购物时，都离不开第三方支付平台支付，但目前我国对在第三方支付平台中注册用户保护是极其不够而且显失公平的，因第三方原因导致消费者资料信息被泄密或篡改而给用户带来损失的，银行方面仅有止损、通知和协助义务，但没有规定赔偿责任;未获授权使用的，第三方支付平平台也不承担责任。人们时常形容这种条约为霸王条款也就不足为怪了。在绝对安全的理想状态不可能存在的前提下，政府应当正确处理责任分担机制的明显不公。

(三)强化第三方支付平台的责任意识

第三方支付平台的出现，在缩减了网上银行的负担的同时，在一定意义上保障了消费者的权益，从其交易流程中我们可以知道，其有效的防止了因欺诈给消费者带来的损失。但是第三方交易中可能出现的安全问题却极易被我们所忽视。所以在强化政府监管的同时，其第三方支付平台自身应当对其自身加以约束。

（1）强化自身监督，因为往往网络交易中所出现的不安全因素，都是出自于第三方支付自身，例如用户资料的泄漏等。在企业内部建立监督管理部门，处理可能出现的不安全隐患，以及处理消费者和商家的争议，做好协调工作。

（2）引导开发与推广新的网络支付安全技术。网络支付业务高度依赖信息安全技术，所以作为支付平台的第三方应当积极参与开发拥有自主知识产权的高端技术，拥有自己独有的信息安全技术，同时强化升级原有安全技术，如加密密钥，在支付宝交易数据的传输中，信息都受到加密密钥的高强度加密，而且每次会话所使用的加密密钥都是随机产生的，这样攻击者就不可能从网络上的数据流中得到任何有用的信息；图形验证，图形验证码通过只能由肉眼识别的异形图文对登录进行再次验证，有效防止非法程序读取信息；数字签名，采用加密传输交易信息的措施，采用协议的方式来实现重要信息在Internet 上的传输安全控制等。这些安全技术保障措施能够极大地提高网络支付系统的抗风险能力，强化网络支付的安全系数，当然就像我们在对支付宝采取的措施中分析的那样，许多安全措施还是存在着漏洞，因此需要不断地创新升级。

(四)强化消费者自我保护意识

网络是个虚拟的世界，所有行为都可以以虚拟身份作为掩盖，因此很容易滋生欺诈的现象，所以作为消费者要学会自我保护，以防止上当受骗。

（1）安装相关的保护软件，可以有效的防止木马以及病毒的侵袭，同时针对网上所出现的钓鱼网站进行甄别，以此来保护消费者在网络交易中的安全。

（2）应谨慎选择交易对象，对于陌生商家，应注意其网址上是否提供详细通讯地址和联系电话。同时注意保存有关的“电子交易单据”，包括商家以电子邮件方式发出的确认书、用户名和密码等。在自身利益受到损害时应当及时与商家和第三方支付平台取得联系，暂停金钱的支付，并通过相关政策法律维护自己的权益。

（3）增强自身法律维权意识。虽然目前网络交易中可能出现责任主体“蒸发”，有理无处说；举证困难；多为异地交易，维权成本高，操作困难等问题，然而在法治日益健全的今天，网络交易也日益受到社会以及政府的关注，法律健全完善只是时间问题，同时目前所颁布的相关法律对于网络交易安全问题已经做了一定的规范。作为消费者应当学会运用法律的武器维护自身的权利。

五、结语

……