微信支付被曝存三大漏洞

　　自7月1日起，央行发布的非银行支付机构网络支付新规已实施近半个月。仍有部分支付机构并未按照新规进行整改。记者调查发现微信支付被曝存三大漏洞：存在未落实实名认证、未执行限额规定、未按照相关交易验证等规定。

 

　　漏洞一：实名认证与否用户不知情

 

　　记者采访多位微信用户，他们表示并没有收到实名认证的通知。腾讯官方公众号曾在7月1日发布《七个问题，带你了解微信支付、QQ钱包实名认证》，其中提到，“微信支付添加过银行卡的用户都是实名用户。若以前绑定过银行卡，后来解绑，也已经完成实名。用户可以打开微信钱包右上角查看‘支付管理’了解实名认证情况”。

 

　　齐女士向记者表示，她之前在微信上绑定了两张银行卡，但在“支付管理”一页并没有看到实名认证的信息，在7月1日之后，微信也没有进行任何提示进行实名认证操作，因此她也不清楚自己有没有真正完成实名认证。在记者调查过程中发现，关于微信支付未实名认证的并不鲜见。

 

　　据了解，央行7月1日开始实行的《非银行支付机构网络支付管理办法》第六条显示，支付机构为客户开立支付账户的，应当对客户实行实名制管理，登记并采取有效措施验证客户身份基本信息，确保有效核实客户身份及其真实意愿，不得开立匿名、假名支付账户。

 

　　值得一提的是，近日王豫甲实名举报了微信支付，称微信支付存有五类典型的违规行为：包括未依法安排客户签订支付服务协议；未依法对支付账户进行实名认证；处理交易超出法定的支付类型和金额限制；可能在不具备豁免条件下，为不同客户的银行账户与支付账户之间转账；安全验证的有效要素不足，超额准许交易金额。

 

　　比如在实名认证中，王豫甲在材料中提到，开通微信和微信支付均不需要实名注册。对于未经身份认证或虽经身份认证但程度不充分的个人支付账户，“微信支付”均允许使用支付账户功能，起码赋予I类待遇，甚至越级赋予III类待遇。

 

　　漏洞二：未执行限额交易验证等规定

 

　　《管理办法》规定，应当根据客户身份认证的不同程度，对个人支付账户划分为I、II、III三类管理。Ⅰ类账户只需要一个外部渠道验证客户身份信息，比如核查居民身份证信息，账户余额仅可用于消费和转账，余额支付额度不超过1000元；Ⅱ类通过至少三个合法安全的外部渠道进行身份基本信息多重交叉验证，账户余额仅可用于消费和转账，余额支付额度为10万元/年；Ⅲ类账户通过至少五个合法安全的外部渠道进行身份基本信息多重交叉验证，账户余额可以用于消费、转账以及购买投资理财等金融类产品，余额支付额度为20万元/年。

 

　　但是微信并没有严格执行限额、交易验证要素等规定。齐女士表示，在未完成实名认证的情况下，她在转账、购买理财产品时并没有受到任何限制。

 

　　某支付行业人士表示，微信支付这一做法肯定是不合规的。齐女士能够购买理财产品说明她应该为Ⅲ类账户，虽然以往大家都认为绑定银行卡就可以属于实名认证用户，但7月1日开始执行的支付新规要求Ⅲ类账户必须是五个不同的实名认证渠道，包括身份信息认证、银行卡认证、电话号码认证等，即便是使用银行卡进行认证，也必须是五个不同银行的卡相互认证。而且无论是否验证成功，微信也应当在相关页面进行显示，提示剩余支付限额。

 

　　另外，齐女士表示，她在给别的微信用户转账金额超过1000元的情况下，仅仅通过指纹便支付成功。根据《管理办法》第二十四条规定，支付机构应根据交易验证方式的安全级别，按照下列要求对个人客户使用支付账户余额付款的交易进行限额管理：采用不足两类有效要素进行验证的交易，单个客户所有支付账户单日累计金额应不超过1000元（不包括支付账户向客户本人同名银行账户转账）。

 

　　网贷之家首席研究员马骏表示，微信在限额、交易验证要素等方面确实不太符合《管理办法》的规定，估计是产品还没来得及修改。针对上述多项违规指责，腾讯方面昨日向记者表示，暂不回应。

 

　　漏洞三：账户支付难防洗钱风险

 

　　在苏宁金融研究院高级研究员薛洪言看来，包括没有执行限额规定、交易验证要素规定等，其危害其实和没有落实实名制是一样的，落脚点都是反洗钱。

 

　　央行要求第三方支付机构执行实名制也是为了落实反洗钱。薛洪言表示，客户身份识别即实名认证是反洗钱工作开展的前提条件。《管理办法》明确规定“支付机构应当遵守反洗钱的有关规定，履行反洗钱义务”。

 

　　《反洗钱法》则明确规定“金融机构应当按照规定建立客户身份识别制度，不得为身份不明的客户提供服务或者与其进行交易，不得为客户开立匿名账户或者假名账户”。基于此，央行在《管理办法》中要求第三方支付机构落实客户实名认证要求，并区分实名情况制定了差异化的交易限额和交易验证等要求。

 

　　他表示，第三方支付不仅承担结算支付的角色，在某种程度上还承担着部分金融机构间的清算功能，具有非面对面性、隐蔽性、广泛性等特征且资金转移迅速，若不能有效落实账户实名制，资金的来源和去向难以追踪，很容易成为犯罪分子洗钱的渠道，增大反洗钱工作的难度，助长各类金融犯罪气焰。

 

　　在马骏看来，监管层有可能对微信进行处罚，不过部分支付巨头在做业务方面总打擦边球，有时监管层也没办法，只是象征性处罚。

 

　　上述支付行业人士表示，虽然微信支付在实名认证环节存在争议，但目前监管机构没有对类似行为明确的处罚标准，这实际上削弱了支付新规的效力。