转载

拉卡拉信用卡还款被曝存“漏洞”

户名与账号不符照样能还款多名用户还错款

■IT时报记者潘少颖

近日有媒体报道称，上海一市民用拉卡拉手机客户端为信用卡还款，由于卡号错误，导致一笔两万元的还款还到了他人的账户上，而他人拒不退还，以至于闹上了法庭。而让这位市民闹心的是，明明使用的是拉卡拉的拍照功能扫描信用卡的卡号，怎么会出错？即使拍照扫码环节出错，账号和开户人姓名不符合，又怎么会还款成功？记者在采访中发现，用拉卡拉的刷卡机设备为信用卡还款的确存在一定的风险。

只要有卡号就能还款

打开拉卡拉手机客户端，在信用卡还款页面，有两种还款方式，一种是用绑定的储蓄卡为信用卡还款，另一种则是用拉卡拉的刷卡机，这个带有刷卡槽的刷卡机可以直接插在手机上，用户可以通过此设备刷卡进行还款。

前文中提到的还款还错卡，导致两万元进了他人账户的市民，使用的正是这种刷卡机还款。记者在拉卡拉客户端上看到，需要输入信用卡卡号、开户银行和姓名，但是在姓名栏的下方，则有提示说“姓名信息仅为方便您管理您的银行卡，拉卡拉不认证该信息。”拉卡拉客服人员告诉记者，用刷卡机还款，只要卡号正确就可以，姓名并非一定要和开户人姓名一致。

对于这样的设计，不少人认为存在风险。“很容易还错卡，十几位的卡号很容易输错，拍照的准确率也和光线、卡本身的磨损程度有关，实际上，拉卡拉应该设一道关口，后台系统检测一下卡号和姓名是否相符，防止还错卡。虽然这不属于诈骗，但对于还错卡的用户来说也是不小的损失。”一位市民表示。

实际上，用户使用拉卡拉因为账号出错而将钱还到其他人信用卡的事件已经发生了多起。去年3月，北京的赵先生就遭遇了这种情况，将1.8万元“不小心”汇给了其他人，后来通过法院才要回。该案的主审法官体验了支付宝、微信以及拉卡拉的信用卡还款流程，发现通过拉卡拉还款时，当填写户名与持卡人不符，仍能还款成功。后来，该法院发函至央行，建议规范第三方支付手机客户端业务，加强监管。

支付宝、微信等要求账号姓名相符

通过银行和其他第三方支付工具给信用卡还款，姓名和账户信息不一致也能还款成功的问题普不普遍呢？

记者试用了几家还款平台，在拉卡拉客户端上，记者选择了直接用绑定的储蓄卡还款的方式。在填写信用卡时，把信用卡的开户人名字换了，不过在还款过程中页面显示为“错误”，未能成功。客服人员解释说，一是信用卡和开户人信息不匹配造成的，二是绑定的储蓄卡和信用卡非同一个人。“如果用绑定的储蓄卡还款，则只能为储蓄卡持卡人的信用卡还款，也就是说，这张储蓄卡不能为别人还款。”

随后，记者又用同样的方法测试了支付宝、微信、邮政储蓄银行手机客户端的信用卡还款功能，均以失败告终。其中，支付宝和邮政储蓄银行都是在看似还款成功后，又被退回。而在微信支付中，输入信用卡卡号和持卡人姓名后，则直接显示“输入的卡号和姓名不匹配”的提示。

律师说法

好技术不如多审核

上海泛洋律师事务所高级合伙人刘春泉认为，就该市民本身的案例来说，当事人和拉卡拉双方都有责任，当事人的责任在于拍照扫描卡号后，会有二次确认的过程，如果在这个过程中发现卡号错误，就可以避免损失。

而对于拉卡拉等这些第三方支付企业来说，安全性肯定是首要的，对在第三方支付平台上进行交易的业务来说，多一道审核肯定就多一份安全，不过这对第三方支付企业的技术要求也提高了。

刘春泉认为，根据央行颁发实施的《非银行支付机构网络支付业务管理办法》相关规定，第三方支付机构应当具备必要的技术手段，确保支付指令的完整性、一致性和不可抵赖性以及支付业务处理的准确性和安全性。从这点来看，如果第三方支付平台不对持卡人姓名和卡号进行匹配，技术上又不能保证不出错，那对用户来说，很有可能存在风险。

反过来说，技术再好也总会有纰漏，不如加强审核来得踏实。

本文来源：IT时报责任编辑：白鑫_NT4464

原文 http://tech.163.com/16/0503/09/BM4NHLVA000915BF.html

正文到此结束