PS：本文只是随印象写的杂谈，不会对细节进行充分引证保证准确，仅提供一个大致的思路。此外本文所讨论的信用卡一律不包含国内的信用卡，因其运作模式和文中要讨论的模式大相径庭。对于支付平台的安全，这里定义为并非客户的主观恶意所造成的支付信息被盗用的损失，客户无需承担责任。

省流：

1. 在存在一定比例欺诈和盗刷的前提下，信用卡既保证被盗刷的持卡人的财产不受到直接损失，同时提供一个相对便捷的交易平台

2. 信用卡安全机制（如安全码）不用于保护持卡人，而是保护商家

3. 检验支付平台是否安全只看一条：当支付信息被盗用时，平台是否保证全额赔付/客户无责

信用卡没有密码

不要拿生日作为密码，不要在不同网站用相同的密码

密码是一个好东西，它提供了一种最简单的“我是我”的证明，并且可以随时更改来应对可能的泄露。但密码实际上是一种有门槛的安全机制，把密码用好绝对不是一件容易的事。简易密码和重复密码，前者容易从烂大街的个人信息猜解，后者则直接能被撞库攻击利用。更不用提记忆密码本身就是一件麻烦的事，而确保密码不会泄露也令人头疼。

不论如何，信用卡选择了一种无密码的授权机制。

所谓授权，就是说批准商家从自己的信用卡账户上发起一笔交易，或者说划走一笔钱。那么对于信用卡而言，要回答的一个问题就是：银行如何保证每一笔交易都是持卡人授权的？为了最大化支付的便利性，信用卡给出的方案是预授权+事后追认。商家只要从客户获取了卡号，就可以申请从卡号对应的账户扣款，银行则默认商家在执行这笔扣款前，已经从客户获得了授权。但这个扣款不是直接到账，而是可以随时追回。也就是说，对于计入信用卡账户的每一笔交易，客户可以在一个月到数月的期限内随时进行否决。而如果客户认可这笔交易，则什么都不需要做，即自动完成追认，表明客户认可和授权这笔交易。

这样的机制带来了几个好处：1. 交易不需要客户实时确认。只要客户和商家达成了一致，商家就可以自行在幕后处理交易，不需要客户守着输密码、验证码、扫码。2. 客户可以提前把支付信息预留给商家，例如打车、在线购物，这样客户在购买商品服务时，就不需要每次提供支付信息。同时客户也不用担心将信息提供给商家后，商家乱扣费，因为每一笔交易都要通过事后追认（在预先授权扣款的同时，保证对每一笔交易进行授权）。3. 理论上这种事后追认的机制还能在买到假货时保护客户，即客户可以提供商家售假的证据，要求银行否决交易。

这样一种设计成立自然是有前提的：银行需要按照客户的要求否定交易。现实中一个有足够中坚消费人群的社会中，大多数人并不会为了一些小额的交易去滥用这种否决，那么银行就可以放心的去消纳小部分的风险，信用卡的体系也能正常运转。当然这种否决权并不是无限的，但是至少在明显的商家欺诈或者盗刷情况中，银行会直接执行客户的否决请求。

具体来说，信用卡都会带有盗刷无责的条款，并且只要客户在常理范围内电话告知银行，银行就会当场取消这笔交易，并且换发新卡。所以信用卡不怕盗刷，因为交易授权的确认不来自交易前，而来自交易后。从客户的角度，只要银行严格执行盗刷无责条款，那么客户就不会受到直接的财产损失，因为盗刷的交易不可能事后获得追认。

从客户的角度，交易否定或者说盗刷无责直接等价于安全。只要实践上盗刷无责成立，那么信用卡就是完全安全的。而如果在盗刷发生后银行不但不执行否定，还把责任推给客户，那么就变成安全崩塌、客户自求多福的情况了。

安全码是谁的安全

……考虑使用三方域安全(3DS)身份验证和验证码控制来防止机器人或脚本发起自动交易

首先一个常见的误区是在线交易必须要安全码，这是完全错误的。类似亚马逊之类的大商家从添加信用卡到交易的全过程都不需要安全码。（但据说BOC的风控因此会拒绝亚马逊发起的交易，并直接锁卡）

在亚马逊添加和使用信用卡只需要卡号、持卡人和有效期，不需要安全码

那么安全码是起什么作用的呢？当然是提升信用卡交易的安全性，但这提升的是商家的安全性，因为客户的安全性是由交易否定或者说盗刷无责提供的。

信用卡盗刷是攻击者盗用了一个卡号作为给商家的支付信息，来骗取商家的商品。客户是靠盗刷无责保护了，但损失的皮球就踢到了商家这边。所以像VISA这样的卡组织会要求银行提供一些安全验证的措施，供商家选择开启。这样当一个人提供了信用卡信息向商家买东西的时候，商家就可以要求验证一些信息，来确保这个人是真正的持卡人，而不是攻击者。当然像亚马逊这种家大业大的商家也自己来处理盗刷的风控。

如果信用卡的安全机制是用于保护客户的，那么就应该有客户选择是否开启，而非由商家选择是否开启。如果安全机制可以被保护对象以外的人关闭，那么安全机制就形同虚设了。因此反过来说，客户是无法选择是否关闭验证码和3DS的。

作为最广泛使用的验证手段，安全码从使用上看很像密码，需要在支付或者保存信用卡时输入。但是VISA其实是严格禁止商家存储安全码的，也就是说保存信用卡用于自动支付的情况中，保存下来的仅仅是卡号、账单地址一类的明文信息，自然后续交易的进行是用不了安全码的。用户输入安全码并不是授权商家使用这张卡，而是商家授权用户使用这张卡进行支付，即这张卡真是你的卡，而不是你猜出来的卡号。一般来说小商户还会对账单地址进行验证（AVS）来判断欺诈，但这需要发卡行支持。

3DS验证同理，商家可以自行决定是否开启3DS，以及决定是添加卡的时候验证就够了，还是每一笔交易都验证一次。比起推崇便利的北美，一般是欧洲和东亚的商家会开启3DS验证。和安全码相比，3DS的短信验证码更加繁琐，但可以帮商家抵御信用卡泄露带来的欺诈。

最后说一下为什么安全码不是密码。密码需要抵抗暴力破解，但安全码只有固定的三位短号，不会像短信验证码轮换，也不会输错三次吞卡。密码需要能更改，但安全码不能自主更改，至于挂失换发卡片那么其实是连卡号也一起改了。密码需要保密，但安全码是直接写在卡上，明文提供给商户的（半公开）。安全码最主要的作用大概是在不知道卡号的前提下，防止随便猜一个卡号猜中。但如果信用卡的明文信息已经泄露，单靠安全码不能防止暴力破解和盗刷。

使用NFC就可以直接在卡片靠近时读取卡片上的明文信息（应用：com.maxsoft.creditcardreader)，是否写入和写入内容因银行而异

那么，代价是什么呢

单笔交易金额超过200元的，按照单笔交易金额的3%收取用户手续费

既然客户靠盗刷无责已经安全了，那额外的安全机制对客户来说有用吗？当然是有的。直接的好处是避免了联系银行换发卡片的麻烦，间接的好处是更低的交易成本。

正所谓羊毛出在羊身上，成本不会消失只会转移。盗刷损失带来的成本最终需要由整个支付体系的参与者来分摊。直接的体现就是客户和商家要共同承担3%的交易手续费。对银行来说，收了这么大一个比例，自然有义务承担和消纳相应的盗刷损失，不然就成了只要好处，不承担责任了。那么对于银行来说，降低盗刷就意味着降低自身的运维成本。所以银行会配备相应的风控系统对交易进行甄别，拒绝高风险的交易。

一般来说，银行如果认定一笔交易为高风险，就应该直接拒绝交易，并拒绝同一商家发起的后续交易。这时银行会用邮件或者其他方式告知客户，让客户判断是否为盗刷。如果是盗刷则直接换发新卡，如果是正常请求则解除对商家的限制，这时客户可以再让商家重新发起一笔交易，这笔新交易银行则予以批准。显然，如果是大概率盗刷的交易，那么银行在没有客户明确的确认时应该直接拒绝，因为客户无责，后续确认为盗刷后将由银行承担盗刷损失。

当然实践上银行并不会频繁使用风控拒绝交易，因为如果出门买个菜就被风控拒付，让人在身后结账队伍的围观下手忙脚乱，那这信用卡就太难用了。实际上，北美银行的信用卡甚至不提供3DS，准确说是这些银行的3DS只是象征性提供一个网页跳转，从不要求客户进行短信验证。因为对于这些银行来说，添加支付流程导致交易量下降的损失大于盗刷的损失。假设A行的卡每次支付都要等一次验证码，B行的卡直接就过了，在B行能保证盗刷无责的前提下，显然是B行的卡更好用（当然3DS也不是保护客户/持卡人用的）。

另一个更有趣的问题是，假设持卡人的信用卡被攻击者盗刷了一笔B商家的交易，但是盗刷前在A商家保存了这张银行卡进行交易。那么在信用卡换发后，A商家继续用旧的卡号进行交易，银行是应该批准还是拒绝？（这里不单独讨论过期换发，因为过期换发更宽松）显然银行可以直接拒绝，因为卡号都已经变了。但是这样就意味着客户必须在所有的商家逐一更改支付信息，不然正常的交易就会受影响。假设A商家是一个正常的大商家，并且会在用户添加卡的时候校验安全码。那么因为此时旧卡的卡号+安全码已经失效，攻击者无法再用旧的泄露的信息从A商家获得使用这张卡的授权，只有持卡人能继续拥有A商家的授权用这张卡支付。那么批准这笔“熟人”交易就是低风险的。

那么，信用卡是降低了交易的成本还是增加了交易的成本呢？在没有具体数据的情况下这个问题很难回答。如果单从结算成本来看，信用卡3%的手续费并不低，以至于银行甚至愿意拿出1%-5%的返现来吸引大家使用信用卡（5%的返现一般是联名信用卡在指定商家消费时的比例，如亚马逊的联名卡在亚马逊上进行消费时返现5%，其他情况则是1%返现）。但是显然信用卡减少了所有使用纸钞的麻烦，同时为兴起的网购提供了一个自带消费者保护的结算工具，可以让客户无需顾虑的进行消费。特别是在一个人均收入足够高、时间本身就很宝贵的社会，不论是精密的POS机还是3%的手续费，相较于其提供的服务其实并不那么昂贵。

将交易成本拆分为结算成本和便利性进行考虑

结算的不便本身就是一种成本，但支撑信用卡交易便利性的是其相对高昂的结算成本。所以在讨论一个支付平台是否先进时，如果只是盯着便利性、盯着各种花哨的支付方式，就忽视了支付平台最重要的功能：降低整个社会的交易成本（结算成本和交易不便之和），促进整个社会的商业繁荣。就像M-PESA的短信支付在非洲的发展一样，短信比起POS用到的技术原始，但即便是这样的支付工具也足以明显降低整个社会的交易成本，避免假钞带来的支付欺诈，带动就业改善民生。毕竟这才是一个支付平台提供的服务所真正要解决的问题。