【上海直击】2019支付安全新趋势：Visa引入AI防诈欺并推动线上支付新标准

【上海现场直击】随着科技与时代的进步，民众的支付模式，在近年有着显著的变化，从早期支付卡的应用，到电子支付，现在又有各式行动支付（Mobile Payment）的出现，都为民众的生活与消费习惯，带来莫大的改变，然而，这些支付模式安全吗？背后使用的安全技术又是如何？

在本月19日，于上海举行的Visa亚太资安高峰会（AP Security Summit 2019），不仅谈讨了支付的转变与现况，同时，揭露2019年支付安全的最新趋势。特别的是，这次我们也难得一窥支付服务的背后，了解所使用的各式安全技术。

近年来，行动支付的盛行已经成为焦点，也是全球都不可避免的趋势，而且许多国家-都抱持积极的态度，像是台湾，也期望能建构国内行动支付环境的标准及基础，期待多元的支付能提高交易便利性、推动创新，甚至设定了目标，要让行动支付的普及率，在2025年达到90%。

而在支付安全方面，2011年发展的代码化（Tokenization）技术，使Apply Pay、Google Pay等行动支付平台能付诸实现；如今我们更是关注到，Visa已经在用AI解决支付诈欺的问题；而电子商务的支付安全也将在今年出现很大的革新，原因是SRC（Secure Remote Commerce）标准的推出，有望让全球线上交易应用更一致的支付标准。

多元支付发展快速，新一波支付变革也即将到来

关于支付趋势的变化，是这几年各方关注焦点，Visa亚太区总裁Chris Clark，特别以工业革命为例来说明。他表示，从18世纪蒸气机发明、电气时代与数字化时代，现在，随着AI、IoT、量子电脑、生物辨识等新兴科技的发展，足以带来具颠覆性的第四次工业革命，并为全世界的生活与居住，带来更广泛的影响。

在这些新兴技术发展之下，Chris Clark指出，支付产业也将迈向第四次重大变革。过去，从1950年代支付卡兴起，到磁条与芯片卡的技术，以及资料应用与代码化技术，现在也将面临下一阶段，他预期资料的重要性将更为提升，且支付将超越交易本身，变得更加自动化且具互动性，甚至渗透到每个设备当中。

不过他也提醒，犯罪组织对于支付技术使用的诈欺方式，也是不断演进。从早期的偷身份与伪造账户，偷卡片与伪造卡片，到近年的大规模资料外泄，以及社交工程与网钓手法等。Chris Clark表示，现代的社会，已经处于第四次支付革命的边缘，未来的支付，将会变得非常复杂，而面对的安全问题，也将来自各个面向与不同形式，因此，他强调，能否导入开放性的创新安全技术与标准，将是确保消费者便利与安全的重要关键。

随着各式支付安全技术与机制的推动，支付诈欺事件的比例逐年降低
在科技的进步与消费者习惯改变之下，支付模式也日益复杂，但支付诈欺的防范，也正随着各式安全技术的导入而逐年降低。对此，Visa亚太区总裁Chris Clark指出，每次安全新技术的提出，都让欺诈事件的比例明显解少，包括支付卡片的CVV号码、EMV芯片卡，及3DS 1.0、Visa Advanced Authorzation（VAA）、PCI DSS与代码化技术等。特别的是，近年VAA更是全面应用AI来防诈欺，这也让Visa全球交易的诈欺率，降低至历史新低的0.1%以内。

降低盗刷率，用AI帮助即时验证每笔交易是否诈欺行为

对于支付安全的议题，如何防范支付诈欺，一直是支付产业的改善重点。面对多元的支付模式，从实体支付、线上支付到行动支付，我们如何能在不影响支付体验的情形下，区分合者为正常的交易，而合者为犯罪份子的诈欺交易。

Chris Clark指出，自1950年以来，诈欺事件的比例逐年降低，特别是在每次安全新技术的引入，都让欺诈问题有明显减少，例如，可以解决实体店家，面对伪卡交易的EMV芯片卡技术，帮助线上交易认证的3DS机制，以及支付卡产业安全标准（PCI DSS）等。

值得关注的是，在这次活动期间，Visa公布了他们对抗支付诈欺的新利器，就是运用AI人工智能，来保障电子商务的支付安全。目前，在该公司的 Visa Advanced Authorization（VAA）方案中，就已经全部使用AI，来分析每笔交易。

什么是VAA？具体而言，它是风险侦测授权的服务，可即时监控VisaNet支付网络的交易授权，Visa从2006年就开始提供，现在更是完全结合了机器学习与AI的预测性分析技术，当中更是包含了500多种独特风险属性的分析，可对每笔交易的风险评分，以协助判别每一个消费者的每笔交易正当性，并提供给金融机构，以帮助他们执行交易的批准或拒绝。

对此，VISA大中华区首席风险长杨景香，还强调了VAA的另一大特色，那就是，可以做到即时的风险评分。例如，刷卡过程中，从一开始的等待时间，就已经在验证交易是否为诈欺行为。因此，不像其他业者多半是在交易完成后，才产出风险评分，这么做，等于是完成交易之后，才去检视交易安全。

此项技术的成效如何？Visa在2018年，已经借助这样的AI技术，分析了VisaNet上的1,270亿笔商家与金融机构的交易，结果显示，他们将全球交易的诈欺率降低至0.1%以内，创下历史最低水准，并宣称每年可为金融机构，防范250亿美元的诈欺损失。

关于未来，在迎接第四次支付革命的同时，Visa也期望在2021到2025年，随着支付安全技术更加进步，还能够再次让诈欺率显著降低。

另外，由于Visa在2010年将Cybersource并入旗下，Visa亚太电子商务产品负责人Chris Hughes，也在这次大会上，特别强调安全无缝消费者支付体验的重要性，并提醒企业应在考量收益、成本与降低诈欺的情形下，更进一步审视商家本身的诈欺管理。

支付环境日益复杂，技术标准化让支付体验一致且安全

在解决欺诈问题之外，对于近年的支付模式转变，安全问题也将来自多个面向，如何提供更好的支付体验与安全，是支付产业的一大挑战。因此，Visa近年推动并实施了几项重要的支付安全技术标准，例如，代码化技术、SRC线上支付，以及3D Secure 2.0验证机制等，其中后两者更是近期的最新发展。

而这些技术，都已经是支付产业标准组织EMVCo的重要作法，业界透过建立标准化的方式，解决支付过程中的问题，并确保支付体验与安全。

代码化技术

简单来说，代码化技术就是将信用卡的16位数号码，置换为另一组16位字串，替代敏感性资料，让实际的信用卡号码只有使用在最初的请求中，而后续存放与传送过程，都是使用另一组代码，进而降低被盗刷的风险，可以不让持卡人的付款资料暴露在外，保障线上交易安全。

这项技术，在2014年成为EMVCo的正式标准，目前，Visa就使用这样的技术，而提供了Visa代码化服务（Visa Token Service），其他国际发卡组织如Mastercard等，也有提供类似的服务。

而且，它还是Apple Pay、Google Pay、SamSung Pay等行动支付背后，重要的安全关键技术。而新一代的安全电商，也将能用上这样的技术。

在本次大会上，Chris Clark重申代码化技术的价值。他表示，近年资料量已经呈现大幅增长的现况，降低资料价值就变得相当重要，否则资料只会越来越多，且电子支付越来越复杂。但他也提醒，在资料价值降低之下，犯罪者也会将目标转移到个人身上，像是利用网络钓鱼方式，并还会用AI创造个人化的攻击。

SRC线上支付标准

值得关注的是，在这次活动中，我们注意到一项最新的支付产业安全技术，就是2019年刚要成形的SRC（Secure Remote Commerce）标准。

事实上，今年Visa也将安全电商（Secure Ecommerce），独立成一大焦点，而这个Visa与同业正推动的SRC标准，看起来，将会是强化线上支付安全的一大关键。

根据Visa的描述，SRC这项标准将为电子商务支付提供基础，让消费者、商家与发卡机构，都能利用一致且安全的支付形式。

据了解，当消费者在网络商店结账时，商家的系统若支援SRC技术，使用者只要在任何装置的第一次使用时，输入需要的资料与信用卡资讯，之后进入任何支援SRC的网络商店结账时，消费者不用再输入付款资讯，就能透过SRC API并连接到发卡组织的后端系统去识别。

也就是说，透过这样的支付模式，使用者在不同网络商家支付时，都能进入统一的SRC付款页面，让消费者的线上购物体验变得更简便且安全，对于发卡银行、收单机构与商家，也都会有助益。

整体来看，Visa对于电子商务的线上交易的安全提出了全新的策略。Visa亚太区产品及数位解决方案副总裁Robert Walls指出，今年8月，Visa Checkout解决方案采用新的SRC规格，而在他们最新的Visa电子商务安全计划中，更将包含五大重要关键技术，不只包括了Visa代码化技术、SRC与3DS 2.0，还有Cloud Token Framework，以及Card on File Tokenization。

3D Secure 2.0认证机制

Visa在前两年的亚太资安高峰会上预告，3D Secure 2.0（3DS 2.0）将是新的线上交易用户身份认证协议，而且，EMVCo已经在2016年10月正式公告2.0的规格，相较于2000年提出的1.0版，两者之间相隔超过15年。特别的是，到了今年，Robert Walls也公布此项机制的执行时程，将会在2020年第2季正式启动，但比之前公布的时间要延后一些。

至于新旧版3DS有何不同？杨景香解释，2.0版不仅增加了多元的验证方式，对于交易风险评估所使用的资料分析，也有更多方式，在先前的1.0版中，资料不超过20项，现在则有超过100项，同时，新版的机制为了减少商家因验证流程的掉单率，只会要求针对高风险交易的5%持卡人，要求额外的认证，同时，也增加了生物辨识的验证方式，将能提供更安全且较便捷的体验。

线上支付新标准SRC今年将普及
为了让消费者将有更好的线上支付体验，并减少商家掉单率，Visa与同业推动的SRC（Secure Remote Commerce）标准，将会帮助未来的线上支付体验，可以有更简单一致且安全的方式。Visa亚太区产品及数位解决方案副总裁Robert Walls说，SRC将在第2季正式出炉，8月后Visa Checkout将开始采用新的SRC规格，并扩大SRC与第三方合作。

Visa公布提升新电商安全的关键技术
随着多元支付模式的兴起，今日的电子商家对于线上支付的安全必须更加重视。而Visa今年也将电子商务安全列为焦点，在最新的Visa电子商务安全计划中，将利用代码化技术、SRC、3DS 2.0，以及Cloud Token Framework与Card on File Tokenization，来建构一个更简单且安全的支付环境，其中，SRC与3DS 2.0，更是这两年支付安全最新关注的两大重点。

防范新型网络犯罪，从多层次面向着手

面对科技、商业模式与消费习惯的改变，Visa不仅与同业推动新的支付标准，协助多元的无现金支付与安全发展，在这次大会一场关于支付网络犯罪的议题中，也让我们看到Visa因应新型网络犯罪，其实也发展出各式不同的安全解决方案。

例如，对于近年新兴攻击中的ATM提款，全球风险支付诈欺中断负责人Penny Lene指出，例如，过去犯罪组织透过一系列的入侵行为，像是网钓攻击、账号盗取、人头账户、伪造卡片，接着，诈欺人员遍布全球提领的行为，往往因为缺乏协作与资讯不对称，导致收单方没有防范，而现在要阻止这样的诈欺行为较为容易。

例如，Visa提供了Vital Sighs的解决方案，将能监测并主动提醒发卡机构，注意潜在的严重诈欺活动，像是监控到不正常的活动，甚至能直接停止交易。同时，他们并会将搜集的情报与金融机构共享，近年也已经帮助金融机构，处理了60多次的攻击。

但她也提醒，在2019年将要特别注意组合攻击的手法，像是一旦主要的资料中心停电，备用资料中心的安全监控机制较少，就有可能带来威胁，此外，还有结合POS与ATM的诈欺行动，都必须要特别注意。

对于交易安全的防护，他们也有实际进行研究，并设立了Visa支付威胁实验室（Visa Payment Threat Lab）。Penny Lene表示，他们会透过模拟的VisaNet环境，来执行红队攻击演练，但这里专注的是交易本身，而不是基础架构。她也举例说明，像是发卡行不同意授权，攻击方就会想尽办法让发卡行同意。而且，未来他们还希望让这样的红蓝队演练，能够变得更自动化。

不仅如此，Visa也设立了全天候监控的风险营运中心（Risk Operation Centre），Penny Lene特别说明，这个单位并不同于他们的基础架构营运中心，因为，里面还集结了防诈欺的专家，做到支付生态系统的保护。同时，他们也有支付系统威胁情报（Payment Systems Threat Intelligence），提供即时的安全警告、资料分析与相关技术指标，并与国际安全组织合作，以因应各式新兴网络威胁。

要注意结合POS/ATM攻击的手法
对于支付网络犯罪的的问题，Visa全球风险支付诈欺中断负责人Penny Lene指出，近年兴起一股结合ATM与POS攻击的攻击行动，将是电子商家、金融业在2019年必须关注的网络犯罪趋势。

Visa资安策略聚焦四大重点

从电子支付到行动支付，安全问题将来自不同面向与形式，如今，Visa正透过多层级的防护方式，来帮助确保支付生态系统的安全。
实际要怎么做？近年Visa提出的资讯安全策略，主要聚焦在四大重点项目，包括：赋予消费者能力（Empowering Consumers）、保护资料（Protecting Data）、治理资料（Harnessing Data）与去除资料价值（Devaluing Data），而Visa也不断强调这些策略的重要性。
值得我们注意的是，今年VISA亚太区总裁Chris Clark特别将四大重点，近一步归纳为三个层次，让大家能更清楚，这些策略背后的目的与面向。他解释，首先要给消费者控制权，做出知情的风险决策，接下来要运用情资与技术，做到资料的保护、资料的利用，以及降低资料价值，更重要的是，还需要大家都能共通协力，才能真正保障未来支付环境的安全。