中 文 | English | 邮箱登录 | 员工登录
当前位置:首页 > 资料中心 > 法律法规
法律法规

【以案说法】银行须确保“刷脸”安全

发布日期:2022-12-07 阅读:719 [返回]

【以案说法】银行须确保“刷脸”安全

来源:中国银行保险报


□田忠华

近年来,“刷脸”被运用到银行业务工作中,要清楚的是,银行“刷脸”业务办理不同于其他行业,涉及的是资金业务,一旦出现问题,不但给客户造成损失,也会给银行带来声誉风险。因此,银行要特别重视“刷脸”的安全性。

“刷脸”业务存在风险

案例一:人脸信息丢失导致“被贷款”

2021年,广州客户王兰(化名)在遗失身份证后,被人冒用身份信息,通过银行的“人脸识别”功能贷款,导致王兰因“逾期贷款”被告上了法庭。广州互联网法院判定此案属“刷脸”引发的借款纠纷,最终经司法笔迹鉴定,认为涉案客户签名并非本人签署,手机号码亦未曾登记在客户名下,由此驳回银行上诉。

类似“刷脸”贷款案,四川警方查处了一个上百人的诈骗团伙。该团伙购买大量人脸视频,借助“僵尸企业”“空壳公司”,为6000多人包装公积金信息,然后向多家银行申请公积金贷款,最终带来10亿多元的坏账。

案例二:异地盗“刷”,存款不翼而飞

不久前,一篇“储户近200万元巨款不翼而飞,人脸识别漏洞成骗子作案工具”的报道,引起不小的震动。

因为存款被“刷脸”转走,马某起诉某银行。起因是:一年前,他妻子刚把50万元存进刚开的某银行卡中,不久账户中的资金就不翼而飞。报警、联系银行,马某很快得知,存款被盗刷。相关银行不承认存在过失,拒绝承担任何责任,被马某告上法庭。不久,马某的起诉被法院驳回。法院判定,此案对于银行来说,未见存在明显的过错和过失。马某认为,法院回避了某银行人脸识别漏洞问题,表示会坚持上诉。

从多起银行用户被盗刷数百万元存款案例的共同点来看,都是被犯罪分子利用个人信息作为辅助,在“人脸识别”上做文章,采取诱骗客户将钱存入某银行,通过银行“人脸识别”这一方法实施转账。

“刷脸”风险剖析

银行“刷脸”业务导致客户资金被盗或者是“被贷款”,从表面上看银行没有过错,但从实际操作中可以看到,“刷脸”成为登录、确认、申请、修改等银行业务环节中重要的验证技术,一旦人脸识别被伪造、网络受攻击,会给银行、储户带来严重的资金损失。事实证明,有些银行“刷脸”业务技术缺乏严谨性,也是金融科技应用中的漏洞。

对于“被贷款”事件,暴露了银行在贷款“三查”制度上的短板,对“僵尸企业”和“空壳公司”,其经营场地和市场监督管理部门、税务等管理机关的相关报表、纳税记录、营业执照年审等信息记录中,一定会有明显的特征。比如,一段时间没有经营收入、没有纳税、营业执照没有进行年审等记录,就能清楚了解所涉企业是否正常经营。从上述案例可以看到,在贷款管理方面,银行工作的严谨性需要提高。

“刷脸”导致客户“被贷款”或者是资金被盗,原因是,不法分子冒用客户身份,通过银行的“人脸识别”功能,实施犯罪。主要技术是通过把静态照片变成动态照片、利用视频植入、远端视频验证等手段,攻破人脸识别和活体检测算法;或者是通过与客户取得联系,用视频聊天方式采集客户的人脸识别重要信息:如张嘴、摇头、眨眼等人脸关键性特征信息等,获得人脸识别的条件,获取盗刷客户资金或者是“被贷款”“人脸识别”功能的关键要素。

还有些不法分子,为达到获取客户信息的目的,以公检法等人员身份,以保护客户权益、身份信息验证等所谓名正言顺的理由,让客户下载登录诈骗软件、提供个人身份信息、银行卡账户和交易密码等信息,达到诈骗的目的。

多措并举,为客户提供安全的金融科技服务

中国人民大学法学院副教授郭锐认为,在法律上,即便是由于技术本身无法实现百分之百的精确,对于造成的损失,银行也应该承担责任,不能以用户信息泄漏的说法逃避责任,除非能够证明用户和犯罪分子互相配合,导致了损失。为此,对于银行“刷脸”业务,无论从保护银行自身信誉,还是从维护消费者权益的角度考虑,银行都应该为客户提供安全的金融科技服务。重点需关注以下几个方面:

一是要建立金融科技安全体系。金融科技部门应本着安全的角度去研发使用“刷脸”金融业务技术,可以与相关计算机网络科研部门、相关大专院校计算机网络专业开展技术合作,研发成熟可用、安全可靠的“刷脸”金融业务应用系统,没有安全保证、没有过硬防盗刷脸能力的科技软件不可盲目上马,避免由于系统漏洞给银行、消费者带来经济损失。

二是做好银行“刷脸”业务风险知识宣传。通过网络、微信群、媒体、线下宣传等方式,让金融消费者认识到人脸识别采集生物特征信息的重要性,每个人要像保护身份证一样保护好自己的生物特征信息。消费者如果遇到外来任何方式(线上和线下)所谓“拍照”场景,如摇头、张嘴、眨眼等特殊动作信息采集要求的情况,要提高警惕,在没有弄清事情缘由前,应终止信息采集(特别是对于陌生人或者是通过网络方式的上述信息采集)。同时,在办理金融业务时,在使用银行、保险等金融相关APP时,要下载官方APP,不要随意下载不明来源的APP,不要将手机轻易交给他人操作,更不要将办理业务的验证码、账户支付密码泄露给他人。

三是银行要推广使用安全成熟的业务运用系统。各商业银行在投入和更新“刷脸”业务系统前,要通过专业人员,制造多种假想盗刷脸业务场景进行测试验证,查找不足,弥补短板,增加多层次防范盗刷脸风险的防护网。同时,要细化人脸识别系统的精准度和安全性,增加信息验证:如指纹验证、实行登录设备备案制、登录地点备案制等多种制约方法,保护好消费者的资金不受损失。为更进一步明确责任,应增加预留签字验证功能,作为本人操作的依据,也是杜绝防盗刷存款、防盗刷脸贷款明确责任的重要手段。

四是防范客户信息泄露。银行保险业、电信业、人力资源社会保障等涉及受理客户个人信息的单位,要做好客户信息保护工作,严防信息泄露,避免不法分子使用获得的个人信息,通过电话、视频等方式与客户联系,获得客户的关键信息,从而实施犯罪活动。

五是严格执行内控制度。要严格落实贷前调查制度,了解个人或者企业贷款用途的真实性、借款企业的运营情况,杜绝“刷脸”业务引发的“被贷款”事件发生。对于企业贷款,可以运用大数据,实现税务、市场监督管理局等部门信息共享,查阅贷款申请单位的营业执照年检和最新纳税情况,通过上述两种方式,可以掌握企业的经营和真实存在情况,防止以“空壳公司”“僵尸企业”为名贷款,有效防范“被贷款”风险。

(作者单位:山东巨野农商银行)