近日新闻接二连三，多地惊爆银行卡内钱款莫名被盗。就此问题，记者采访了上海市信息安全行业协会副主任张威。
张威说：复制银行卡，情况比预想得要糟糕。这里的关键，是“磁条卡”。
收银员偷窥密码是惯用方式，个别POS机还被加装了信息窃取装置。“前阵子流行过一种小小的读卡器，大小和银行卡差不多，方便服务生随身携带。要知道，现在真有那么一小部分服务生，他们并不是看中工资，而是为了有机会盗取持卡者的用户信息。”他们拿着可以记录银行卡信息的POS机给顾客刷卡，然后在“不经意间”看到密码，厉害的甚至可以根据客人的按键音“听”出密码。
很多人有这样的经历，在餐厅刷卡消费时，明明已经刷过一次，但服务生告诉你刚才没有成功，要再刷一次。“这个时候，要警惕，很可能是不法分子想再次确定你的密码。”
更无声息的是做了手脚的ATM机。去年西安警方曾经破获一起盗刷案，是不法分子在多家银行的ATM机上安装读卡器、针孔摄像机，这个团伙在很短的时间内就盗刷了100多名用户共740万元的账户金额。
随着网上支付的普及，钓鱼网站是不法分子获取信息的另一渠道。一个加了木马程序的链接，一旦用卡人点击进入，就会被引导到交易网站上。“这个时候，你在页面输入登录密码，后台就在记录，输入一次密码提示错误，再输入一次，后台就确认你的密码了。”
得到一组“卡号+密码”，即被视为一条有效信息。每隔一段时间，他们就将这些信息打包给下一个环节的人。
在取款环节，有各式各样的取钱客。取钱的马仔，一次操作会取10张卡。一些小额账户会被一次提取，大额账户则会被转账到几十个不同的账户里。很多人会有疑问，大额转账，银行向持卡人的手机发验证码，犯罪分子是如何拿到验证码的呢？
“用木马截取你的验证码，直接转发到他自己的手机上。”张威解释，这样的木马程序通常是伴随着不正规的APP下载到用户的手机上（也可能是有网址的短信）。如何让用户相信并点击登陆钓鱼网站，是一个技术活。不法分子会设立伪基站，向方圆1公里范围内的手机发送信息，一般是假冒10086、95533、95555等所谓的电信运营商或银行发出“积分兑换现金”短信，并内置一个假冒运营商、银行的钓鱼网址。
“有些卡内没有多少钱，但不法分子可以查到以前的详单，如若发现会有再次转入资金的可能，就会先养着这些卡，等到有大额的钱进来后再去取。”
对于盗刷，银行和专家给出的意见都是：尽早换成芯片卡。但现实问题是，芯片卡在很多国内商户处无法使用，而由于商家普及不高所以公众不换卡，这是一个循环圈。
专家的建议是：大家对自己的卡分类，只将其中一张用于网上支付、商家支付，或者大部分换成芯片卡，保留一张磁条卡且金额不要放太多。
（《解放日报》5.9 谢飞君）
缩小
全文复制
上一篇