支付寶回應“余額寶1年只能買1萬”：不會受任何影響

余額寶聲明截圖。

每經實習記者史青偉發自上海

近日，央行繼叫停虛擬信用卡和二維碼支付之后，又向多家第三方機構下發了《支付機構網絡業務管理辦法》（以下簡稱《管理辦法》）征求意見稿草案，其中有條款對第三方支付的轉賬、消費金額等進行限制。

昨日（3月18日），中國支付清算協會常務副會長兼秘書長蔡洪波在一個發布會上表示，二維碼支付被叫停的原因主要是目前技術安全標準的缺失，將來通過鑒定，達標后再推廣運用也是有可能的。

另外，針對央行尚未頒布的《管理辦法》征求意見稿，昨日，支付寶在官方微博上表示，支付寶快捷用戶申購和贖回余額寶現在和未來都不會受到任何影響。

支付寶回應央行草案

據了解，《管理辦法》草案第二十五條規定，個人支付賬戶轉賬單筆金額不得超過1000元，同一客戶所有支付賬戶轉賬年累計金額不得超過1萬元。個人支付賬戶單筆消費金額不得超過5000元，同一個人客戶所有支付賬戶消費月累計金額不得超過1萬元。超過限額的，應通過客戶的銀行賬戶辦理。

針對有用戶關心未來購買余額寶等理財產品是否將受到限制的問題，昨日，支付寶在官方微博上表示：第一，征求意見稿屬于草案，也就是說還處于草擬階段，并未正式頒布，更沒有實施。每一個管理辦法的出臺會經歷很多版本的草案；第二，公司已經將相關的意見反饋給央行，并且正積極與央行進行溝通中；第三，既然并不是正式意見，因此對余額寶的使用不會有任何限制。

二維碼背后內容不可控

業內人士表示，二維碼實際上是一個編碼方式，可以把圖片、文字信息等都可以以二維碼方式呈現，然后通過攝像頭識別，作為一種傳遞信息的途徑，二維碼沒有生成主體的限制，這樣就帶來了很大的風險隱患。

華南地區一位支付安全專家告訴《每日經濟新聞》記者，“二維碼是因為沒有SE（安全元件）這樣的一個安全保障，誰都可以去網站上生成，所以顯得不安全。”

誰都可以在網站上生成二維碼，這給了網絡犯罪者提供了作案空間，以安裝惡意軟件為例，用戶掃描含有惡意軟件的二維碼后就直接進入下載頁面，如果用戶點擊下載，那么手機就會被安裝。

一家大型支付機構人士也向記者表示：“二維碼背后的內容不可控，二維碼支付受到連帶影響，通過掃碼誘導下載，被植入木馬病毒，截取受害人短信，套取手機校驗碼，然后進行網絡欺詐。”

鑒于二維碼支付在安全保障方面存在問題，3月13日，央行下發緊急文件《關于暫停支付寶公司線下條碼（二維碼）支付等業務意見的函》，暫停條碼（二維碼）支付等面對面支付服務。

一位支付風險專家向《每日經濟新聞》記者表示：“通過二維碼這種新興的讀取技術，將線上的交易轉化為線下的無卡交易，風險程度由低風險轉化為高風險，在系統不成熟的條件下，如果大規模應用會引發系統性風險，而且風險出現，很難追查犯罪的源頭。”

二維碼支付尚需多方面完善

央行的擔憂不是沒有原因，目前在其他國家也沒有一個條碼支付的安全認證體系，在保護交易賬戶安全性和交易信息的真實性方面同樣存在疑問。

蔡洪波稱，二維碼支付在安全性、交易不可抵賴性等方面還有待探討，但是否達到金融支付體系的安全標準還不確定，將來通過鑒定，達標后再推廣運用也是有可能的。

對于支付機構和二維碼使用者來說，目前迫切需要知道二維碼安全支付標準何時能建立。

上述支付風險專家表示：“二維碼支付從原理上來說是信息傳遞方式，與金融支付信息傳遞上有一定差別，在終端環境，有沒有可能在發起端信息就被竊取，傳輸過程中會不會面臨中間的截取，應該完善的方面是很多的”。

他表示，改進的方向需要實現以下幾個方面：首先，保證二維碼真實性合法性和不可復制性；其次，在傳輸過程中，外部設備，比如手機需要一套安全識別標準的軟件，確保所掃描的二維碼的安全性；最后，在傳遞過程中，支付機構通過相關的系統傳遞到刷卡行進行授權的過程，需要保障信息的安全性。

“二維碼需要在金融支付環節進一步證明能夠保障持卡人用卡安全，通過攻防技術的提升完善這些方面，同時金融支付安全標準是一套逐步完善的標準，很難一蹴而就。”上述支付風險專家表示。

來誼電子CEO徐海光也向《每日經濟新聞》記者表示，銀行與支付機構傳輸支付指令和驗證指令只有一條信道，單一信道容易被黑客通過信息和瀏覽器攔截，金融機構難以確認客戶端操作者的身份，無法識別網絡中間人（如黑客）對支付指令的篡改。如果能夠實現雙通道驗證就能很好的防范這個問題。