張宇鋒：信用卡的消費密碼、簽名與Apple Pay
關注過我的讀者們應該知道，筆者是一個通信業從業者，所寫的文章一般都是在為運營商“洗地”。然而今天筆者打算以一個常年混跡於信用卡社區的持卡人的身份，給大家一點信用卡安全用卡的建議。之所以想寫這篇文章，是因為最近剛剛發生一起信用卡盜刷案件，在觀察者網對此案的報道下，筆者以評論的方式給大家提供了一條“不要給信用卡設置密碼”的建議，這條評論被踩了好多次。筆者打算從這點開始給大家簡單談一下怎樣安全用卡。
我國大部分信用卡持卡人都有個習慣，就是將卡片的消費模式設置為“憑密消費”，所謂憑密消費是指在消費時銀行或卡組織通過密碼來確認消費是不是由持卡人發起（即消費的合法性）。而國際主流的消費模式則是“憑簽名消費”，即在消費時由商户通過核對POS籤購單上的簽名與卡片背面簽名條上的簽名是否一致來確認消費的合法性。
以中信銀行為例，該行的《信用卡(個人卡)領用合約》內明確規定：“凡使用密碼進行的交易，均視為乙方（持卡人）及其附屬卡持卡人本人所為。……凡未使用密碼的交易，乙方（持卡人）及其附屬卡持卡人簽名的交易憑證為交易的有效憑證。”
而中國銀行也有類似的規定：“凡使用密碼進行的交易均視為甲方（持卡人）本人所為；未使用密碼進行的簽單交易及所有境外交易，以記載有甲方（持卡人）簽名的交易憑證為該項交易的有效憑據。”
此外，大多數銀行發行的卡片背面都有類似“未經簽名無效 Not valid unless signed”的字樣。由此可見，對於憑密消費，大部分銀行都會直接將其視為持卡人發起的合法交易。一旦發生盜刷，除非能證實自己不可能在交易發生的現場，否則設置了憑密消費的持卡人很難推卸自己對這筆交易的責任，而設置了憑簽名消費的持卡人只需要證明籤購單上不是自己籤的名就可以了。
（比較有意思的是，所有國內銀行的客服人員都會告訴你設置為憑密消費更加安全，而他們的領用合約則會把密碼泄露造成的盜刷的責任都推在持卡人身上……）
信用卡一般有兩個密碼：一個叫做“查詢密碼/電話服務密碼”，用來在網上銀行或者電話銀行辦理業務驗證身份用；另一個是“消費密碼”，就是在POS或者ATM上輸入的密碼。有很多持卡人在領用信用卡時只設置了查詢密碼，而沒有設置消費密碼。這些持卡人的卡片實際上處於憑簽名消費模式，但其本人並不知曉，還以為自己的卡片處於憑密消費模式。
筆者建議持卡人在不確定自己的卡片是否設置了消費密碼的情況下一定要與銀行確認，以免造成不必要的困擾。使用消費密碼在POS機上消費實際上是中國銀行業首創的，隨着中國銀聯走向國際化，帶有密碼鍵盤的POS機才慢慢跟着中國人走向世界各地。
提到中國銀聯我們就得聊一聊卡組織與信用卡安全用卡的關係了。拿出你的卡片，你的卡片上除了銀行的Logo之外還會有一個卡組織的Logo，國內比較常見的卡組織包括我國的中國銀聯和歐美的MasterCard（萬事達）、Visa、AmericanExpress（美國運通）、Dinner（大萊）以及日本的JCB。卡組織作為一個第三方清算網絡，為銀行拓展銀行卡業務和消費者消費提供了更為便利的環境。卡組織出於各種目的，一般都會搞一些獨立的標準。例如美國運通、萬事達和Visa就聯合設立了一個名為EMV的IC銀行卡標準。該標準的誕生推動了銀行卡由磁條向芯片的更新換代，並可以有效降低了傳統磁條卡被複制的風險，提升了用卡安全性和便利性。為了迅速推廣EMV標準卡片，三家卡組織幾年前發佈了一條規定，規定磁條卡發生盜刷後由持卡人承擔一切責任。所以，經常出國的土豪們，趕快看看你的錢包，你出國用的萬事達卡、運通卡和Visa卡是不是芯片卡，如果不是趕快找銀行去換。
由中國銀行發行符合EMV標準的Visa單標芯片卡，注意，由於沒有銀聯標識，此卡無法在大陸境內使用，只能用於境外
而不出國的同學就不要申領符合EMV標準的芯片信用卡了，因為我國規定境內銀行發行的境外卡組織單標卡不得在境內使用，而國內銀行發行的EMV卡都是境外卡組織單標卡。如果你想避免磁條卡被非法複製而造成盜刷，我們有自主標準供你選擇——《中國金融集成電路（IC）卡規範》，業界將其稱為“PBOC”，最新版本為3.0。來，讓我們再次打開錢包檢查一下你的信用卡：你的信用卡卡號是62開頭的嗎？你的信用卡正面有沒有芯片？如果兩個問題的回答都是肯定的，那麼恭喜你，你的這張卡片至少以目前的技術手段是無法被複制的。要知道，有近四成的信用卡盜刷案件都是由於卡片被複製造成的。
由中信銀行發行的銀聯標準卡，符合PBOC規範
我國發行的信用卡里有一種怪胎，叫做“雙標卡”，意思就是卡片上既有銀聯標識，又有境外卡組織標識的信用卡。這種卡片的誕生是因為我國銀行卡清算網絡起步較晚，早期為了借用境外卡組織在國內的網絡而誕生的。而由於銀聯同境外卡組織芯片卡的標準不同，這類卡片無法更換為芯片卡，也無法適應越來越危險的用卡環境，因此筆者建議此類卡片的持卡人應儘快將雙標卡更換為單標卡。不出國的同學建議更換為銀聯單標卡，有出境需求或境外網站購物需求的土豪們建議更換為境外卡組織單標卡。
由郵儲銀行發行的雙標卡，注意卡片正面的銀聯標識和萬事達標識
説到境外網站購物，筆者還要提示大家一下一定要注意卡面信息安全。在國內網站上進行信用卡在線交易時，無論是銀聯支付、支付寶或者是別的什麼支付網關，都會根據中國銀聯的要求通過手機驗證碼和身份證號來驗證消費是否由持卡人本人發起，但在國外信用卡可不是這麼用的。以宅男最愛的Steam為例（啥？你問為啥不以Origin為例？因為Origin不接受中國大陸發行的信用卡！），在Steam使用非銀聯銀行卡消費時，只需要輸入卡號、持卡人姓名拼音、卡片有效期、卡片背面簽名條後三位數字和賬單地址就可以成功扣款，沒有其它驗證措施。因此，筆者建議各位讀者一定不要向其他人展示你的信用卡，尤其是你家那個喜歡玩遊戲的熊孩子……此外，不要在Wi-fi環境下在線使用信用卡，尤其是公共Wi-fi。
好的，我們來重新回顧一下前文給出的用卡安全建議：
1. 交易模式設置為“憑簽名消費”；
2. 如果使用“憑密消費”，先與銀行確認是否設置了消費密碼；
3. 將磁條卡更換為芯片卡；
4. 儘量不要使用“雙標卡”；
5. 不要向其他人展示信用卡；
6. 不要在Wi-fi網絡中使用在線支付。
做到以上幾點，基本就可以防範大多數用卡安全隱患。此外筆者還建議信用卡持卡人購買銀行卡盜刷險或類似的保險產品，某保險公司賣的盜刷險一年才不到三塊錢。三塊錢買個安心，不算虧吧？（不過這個保險公司拿到我個人資料之後就開始跟我推銷壽險跟車險，煩死了……）
説完了傳統的信用卡，咱們再來談談最近很火的Apple Pay。一個月之前Apple Pay正式進入大陸地區市場，此服務適用於iPhone6系列四款產品和配備了iWatch的舊款iPhone（iPad不可以在POS機上刷卡消費，本文不做討論）。在綁定了銀行卡之後，Apple Pay用户就可以把自己的手機當成銀聯閃付卡一樣在支持閃付的POS機上揮卡（揮手機？）消費。目前來看還沒有發生因使用Apple Pay造成的盜刷事件，但筆者打算在這跟您提個醒：
1. 在Apple Pay中綁定銀行卡實際上是由銀行重新發卡，重新發放的這張虛擬卡與您的原卡卡號並不相同，所以不用擔心銀行卡信息被蘋果公司或者其“合作伙伴”獲得您的實體卡片信息進而獲得您的某些隱私。但是由於“綁定一次就換一次卡號”的特性，會導致退款時的一些麻煩，所以筆者在此強烈建議Apple Pay用户在確認最近的消費不會發生退款前不要解綁您的卡片；
2. 老生常談，想保證您手機的安全，就不要越獄，不越獄只有蘋果公司及其“合作伙伴”可以調取您的信息，越獄後可就不好説了；
3. 國內信用卡在綁定Apple Pay之後也不能出國使用非銀聯通道POS機，建議有出國需求的土豪們綁定境外信用卡以滿足境外用卡需求；
4. 手機維修、更換前一定要解綁銀行卡，如果無法操作以及手機丟失的情況下可以在iCloud上解綁。
實際上，我國的三大運營商幾年前就推出了基於NFC即近場通信的銀聯閃付服務，在2014年筆者就開始使用某地聯通提供的SWP-SIM卡配合某款支持NFC的手機完成刷卡消費功能了，這種SIM卡還可以用來乘坐當地的地鐵。而中國電信4G用户只要手機支持NFC就可以申領類似的SIM卡綁定銀行卡或是公交卡。由於信息處理模塊是SIM卡，不能被手機廠商解讀，安全性和隱私保護不知比蘋果高到哪裏去了……（除非你質疑我們通信業從業者的人品，就像我懷疑蘋果那樣。）
不過運營商提供的可綁定信用卡的SIM卡在使用時也是有一定風險的，這個風險在Apple Pay上也存在。實際上這算不上是一個風險，只能説是一個霸王條款：國內所有基於閃付的交易無論是否使用密碼、無論簽名是否與本人筆跡一致，皆視為持卡人本人發起的合法交易。因為銀行業認為閃付卡是不會被複制的，不存在盜刷的風險。這個霸王條款如何規避筆者暫時還沒有發現，歡迎讀者們在評論區討論！