主题：zt 银行的问题又来了 -- lanchong

上海“付费通”是如何沦为犯罪洗钱工具的-招行

在这个凡事都要讲政治，讲领导正确的土地，啥制度都是没有用的。纸上的制度再严，程序再紧密，也底不过领导一个意志。

至少当事人对于自己的密码的保管不是很妥善。

另外，当拿到卡的时候都有相关文件申明需要马上改若干密码的，而且对于密码保管，卡号保管都有很明确的说明。帐户里的钱在正常交易的状态下少了，银行让用户报警应该是最正宗的做法，在正常交易状态下，银行是没有权利更改用户帐户资料的。

首先，为了大家方便，我先自我介绍一下。我曾在招行工作过两年，虽然主要做的是个人理财，但幸运的是当时人手少，所以让我有机会先到各个岗位轮了一圈，除了事后监督都做过了。说这些为了免去大家猜测的时间，如果你认为我曾是银行的说话就偏颇，那下面的话就不用看了。

下面的分析基于三年前的业务知识，不敢说跟现在的情况完全对得上号，只是给大家做个参考。

楼主的转贴很长，我详细看了招行网银的问题，也就是第二章，关于上海付费通的问题。

首先我的出发点是作者的叙述完全属实，但可能有遗漏的细节。毕竟作者不熟悉银行的工作机制，可能忽略掉了有价值的线索。

作者对招行提出了几个问题（后面有引用），最后表达了对招行个人银行专业版安全性的不满和严重的质疑。

我刚才查了一下这个“上海付费通公司”，是一个独立的法人企业，开设通过银行卡缴费的业务，银行是他的合作伙伴。换句话说，这个付费通不等于银行，也不是银行开展的一个业务，而是单独的一个公司。

说到这里我认为作者的这个遭遇漏掉了一个很重要的前提，那就是他是否在付费通开通相关的缴费业务。如果是我看漏了谢谢提醒一下。

如果他完全与付费通没有联系，那么这是一起很严重的事件，他对银行的指责我完全赞同，并且希望他以法律手段捍卫自己的权利。

如果他自己确实在付费通上开通过相关的业务，那么我理解这个事情就成了“付费通乱收费，而银行是他收费的途径”。这样一来合同的主体就是付费通和作者，与银行完全没有联系。我觉得就有几点值得商榷了。

首先关于第一条和第二条，

我对法律不懂行，但是我想，已经报案并开始司法手续了，那么就应该等结果出来之后才能追回资金，也就是说在等确定这是“赃款”后。因为纠纷这种事情向来要两面取证，作为客户当然认为自己理直气壮，认为马上把钱转回来是理所当然。但是有时候合情的未必合理。不知道我这个想法对不对，要是有懂法的河友能说说就更好。

但是关于第三条

这里有个问题了，不知道作者是怎么断定对方是通过鼠标键盘操作来实现划款的。由于缺失了这个重要的前提，后面我只能根据假设来说了。

首先我说一下招行专业版（下面简称专业版）的工作机制。专业版是一个网银客户端，客户可以通过专业版对自己的账户进行操作。他的安全机制有两种：一种是数字证书，即客户需要本人持身份证件和银行卡到招行的营业网点去申请，申请过程中必须输入取款密码。这个业务是不能他人代办的，我认为这杜绝了非本人盗用申请的可能性。需要说明的是，这是客户申请到的是一个数字证书的申请码而不是数字证书本身。然后客户需要将申请到的数字证书导入电脑，这个过程同样要求取款密码，而且还会让客户留下5个提示问题和答案，然后专业版安装完成。值得注意的是，至此客户的电脑上并没有一个数字证书文件，而是完全嵌入了专业版内部。也就是说，一但你重装电脑，你的专业版就没用了，你必须重新到网点申请数字证书。为了方便客户，专业版提供了证书导出功能，使用这样功能后，电脑里才会出现一个数字证书文件，而且在恢复时必须回答前面客户自己设置的5个问题中随机抽取的两个。也就是说，使用了证书导出的客户才有可能被别人盗取安全证书，盗取者想要成功使用专业版，还必须回答对两个问题和掌握取款密码。说到这里，相信大家对于盗取成功的可能性就有一个认识了。

第二种是usb证书，即作者提到的u盾。申请方式相同，不同的是招行会给客户一个u盘，安装专业版时必须插入该u盘，需要注意的是这样安装的数字证书不再嵌入到专业版内，而是放在u盘里，在这种情况下也就没有导出机制，而且使用专业版时必须保证u盘为插入状态。这样盗取者要想成功盗用专业版，必须盗取u盘，回答问题，掌握取款密码。

讲了这么多枯燥的理论，回到问题。如果确实是通过键盘鼠标操作，那么就是成功盗取了作者的专业版，从文中看作者的u盘并未丢失。那么可以说是专业版出了问题，这是招行的问题，而且是个重大问题。

反过来，如果不是通过键盘鼠标操作的，那就这能是网络划转的。那我不得不说，这事儿与专业版的安全性毫无关系，与银行也没什么关系。因为专业版作为一个网银终端，只执行“个性化”的命令，也就是说像自动代扣这样的工作一旦签订，就会在固定的时间，根据代扣方发送的金额代扣，完全不需要通过客户，要不何来“自动代扣”？在这个过程中网银还是起作用的，但是并不是核实这是否是“客户的意愿”，因为这一点已经在你和代扣方签的合同里说明了。这样作者认为的付费通权限超过银行也就是无稽之谈了。

换句话说，这个事情可以抽象成这样：你在百货公司买了一双90元的鞋，然后给了一张签了名的空头支票给售货员，说我忙，请你直接帮我填上，然后就离开了。可是这个售货员给你填了个90000。事后你发现了，你是该找银行呢，还是该找售货员？

为了防止网上交易可能发生的问题，专业版是设置了交易上限功能的，提醒大家最好还是设置一下，以防万一。

一句话，问题可能不是想象的那么简单，到底问题出在哪里？在详细分析前，最好不要急于出口伤人。退一万步，即使是招行出了问题，是不是所有的银行员工都该杀？要真是这么容易判断，估计地球上也剩不了几个人了。

其实谈不上澄清，因为我一个对上海分行不了解，二个已经离开招行一段时间了。

之所以关注这个帖子，是因为招行给我的印象是以服务和科技立行。招行是在专业版上面花了大功夫的，至少在我离开时，国内同行的网络银行跟专业版更本不能相提并论。如果专业版出现如此离谱的被盗用事件，这个打击简直是致命的。

另外一点，这个帖子的故事还是有很多疑点的。一个客户在毫不知情，也没有与扣款方有任何联系，没有任何收款理由的情况下被莫名其妙的扣款，这是明目张胆的犯罪。虽然我的职业经历不长，以我得到的知识来看，发生这样的事情太让我震惊了，以至于我不得不对故事的真实性持保留态度。

从技术上讲，银行可以对任何一个账户进行操作，但是法律上讲银行没有这个权利。也不会有银行这样做。这就好比警察去抢银行，他们技术上有这个实力，可是谁会这样做？这也就是我震惊的原因。

另外，根据作者的说法，受害的客户有很多，而且造成了一定的舆论影响。但是我以“招行”、“付费通”为关键词搜索，得到的前五页全是这一个帖子被转来转去，没有另外的消息来源与之印证。其他的疑点还有一些，在这个真真假假的网络世界，我觉得不妨缓一下再下结论。

家里好多都是付费通付的，关键是如何避免类似情况发生呢？

“付费通乱收费和银行完全没有关系”，这个就有些无理了。付费通不是随便街上哪个人，而是和银行合作的公司，是可以直接从银行顾客账户上划钱的共司。银行同意和一个第三方合作，难道在合作合同里银行没有任何责任保护自己顾客的利益把危险全推给顾客自己？自己的网银搞那么多安全措施防止客户意外丢号丢卡，却在后墙上开大洞让合作方随便从客户账户上取钱，难道银行对自己合作方的安全水平没有任何要求吗？

您讲了半天网上银行如何如何安全，客户如何不会被盗，其实都是白讲。因为很多银行安全问题都是从后台攻破的，根本不走客户这一头前端，完全绕过种种为客户登入设的安全措施直接从银行的其他计算机进银行数据库界面，甚至很多就是内线做的。或者就是给一些合作方特权，而合作方并没有完善的安全措施。总之一个系统的安全程度决定于所有环节中最弱的一环，只要有这种薄弱环节存在，客户端做得再安全也没有用。

对于您最后的开了90000支票的例子，也没有道理。这种情况当然应该首先找银行，要求拒付该支票。

美国的法律规定电子转帐必须要有严格证据证明是账户主人要求进行电子转帐（比如亲笔签名，电话录音等等），而且收款人必须保留这些记录。对有问题的转账在转账发生60天之内付款人可以提出要求召回款子，银行有45天时间完成调查，调查如果客户要求属实就得把款子划回去。

总之，在相关责任法律没有完善之前贸然开辟新服务，表面与国际接轨，其实结果肯定是一处问题就是弱势方买单。

就支票的那个例子来说，我觉得roy7255所说的空白支票是指印鉴齐全的仅未填写金额的支票，填写金额后即可由银行划款。roy7255的意思是说如果顾客不填写好金额后再交给营业员，这样就会产生营业员任意填写金额的风险，而这种风险将只能由顾客承担。因为银行仅能审核支票及印鉴是否真实有效。

先说90000的例子。你说首先应该找银行，要求拒付。我同意。但是这里找银行并不是因为银行应该对这起多付款事件负责，而是一个处理的环节而已。因为我说了，是客户自己给了一张已经签名的支票。

你说地第一条。

如果客户与付费通有协议，那付费通当然有权利依据他和客户的合同扣款，银行何罪之有？这里的合作伙伴只不过是客户可以通过银行向客户收费而已，就像商场里的收银台都有银联和一些银行卡的标志一样。银行对客户按自己意愿输入的指令有什么要保护的？你要说这里客户根本没有取钱的意愿。我这里是假设客户与付费通有协议，那么这就要看具体这个协议是怎么规定的了。

再细说一下这个“合作伙伴关系”。银行的服务与钱有关，许多地方人们都要使用，自然比较敏感。但是如果只是作为支付手段使用，银行的责任在哪里？是要保证取款是在持有正确的卡片和输入正确的密码下产生的。这一类比如ATM取款，商场刷卡消费。

网上交易的责任在哪里？是要确定取款是在正确的客户端和输入正确的密码下产生的。

像这种未经过客户端的划款的责任在哪里？在确定划款方与客户间有合同关系，确定客户授予了划款方划款的权利。具体划多少？如果客户没有进一步的规定，银行为什么要管？这种情况适用于各种“自动缴费”。

这里如果是付费通与客户开通了自动缴费的协议，那么划多了钱管银行什么事，难道还要银行去给每个人核实你的水电费是多少？（水电费只是举例）

要说合作伙伴，什么情况有银行的事？我想是银行根据这种合作，给这个合作伙伴的客户推出了一些优惠。比如对付费通的客户，我们给予缴费时金额9折的优惠。当这个优惠没有实现时，自然该找银行。

至于你说我讲了半天客户端的安全性没有意义。我也是分两头说的。因为作者没有说明为什么能确定对方是通过键盘鼠标操作来盗取钱的。要这样盗取，就必须使用客户端。而我认为盗取客户端的成功性微乎其微。如果不是盗取了客户端而是“攻破”了客户端，那就像我说的，是致命的事件了。

你还提到银行客户端再安全也没用，指出银行可以从内部操作客户的账户。我要说，这在技术上是完全可行的。但是你后面的意思似乎暗指银行内部人员作案，或者与外部勾结作案。我要说，这就是犯罪，该查就查，该抓就抓，我支持还来不及呢。但是是不是这样的事情很多？多到一出现与银行有关的纠纷就认为是银行内鬼或则勾结的地步？这只有群众才有发言权了。我没有调查过，但就我知道的，招行内的，三年前绝对没有到这个地步。

我正是这个意思，看来还是表达得不够好。

看看是不是真有这个事情