央行司长示警 刷脸支付单一特征交易隐患待解

本篇文章2753字，读完约7分钟

地铁、超市、便利店、药店...随着越来越广泛的应用场景，刷面支付这种新的支付体验正在巨人的推动下试图掀起另一场支付革命。人脸识别支付应用程序可以探索通过手动输入密码、短信验证码、语音验证、静脉验证、指纹验证和数字屏蔽来帮助人脸识别认证的方法。

地铁、超市、便利店、药店...随着越来越广泛的应用场景，刷面支付这种新的支付体验正在巨人的推动下试图掀起另一场支付革命。然而，新事物的成长和改进需要时间。面对人脸识别支付应用中的潜在安全风险，央行科技司司长李伟最近再次警告，不要简单地将人脸特征作为唯一的交易验证因素，而要根据风险程度结合用户密码等其他因素进行多因素认证。

央行再次发出警告

目前，在金融反欺诈手段中，人脸识别越来越普遍，但也引起了一些关注。9月20日，中国央行科技司司长李伟出席了此次活动，他警告称，这项技术在金融交易验证中存在隐患。

李伟说，人脸是生物特征，隐私性不强，信息被误用的风险相对较高。在现实生活中，我们通常通过结合面部、声音和姿势等弱隐私特征来认识他人。我们不仅要看你的脸，还要听你的声音和动作，全面判断你是谁才能认识一个人。这些特征一般都是暴露出来的，而且往往是在我不知情的情况下，以一种遥不可及、非接触的方式悄悄收集的，这是目前不可避免的现象。问题在于，一些机构高估了弱隐私特征的识别功能，仅依靠单一特征来验证空网络中的金融交易，存在严重隐患。

李伟还表示，对于人脸识别支付应用，由于在线开放的网络环境中存在很多风险，应用条件不成熟，而离线应用风险相对可控，基本满足试点应用条件。但要遵循相应的原则，包括提前告知信息使用方式，明确获得客户授权，避免与需求无关的特征采集，保证人脸特征采集的合理性和必要性；鉴于人脸识别过程较为平静，金融机构应严格执行《消费者权益保护法》，充分尊重用户的主观意愿，保护其知情权和财产安全等合法权益。他们不应在用户不知情或未经授权的情况下发起交易。他们不应简单地将人脸特征作为唯一的交易验证因素，而必须根据风险等级结合用户密码等其他因素进行多因素认证，以平衡金融服务的安全性和便利性。在后续行动中，央行将加强监管、检查和安全评估。

《北京商报》记者注意到，这不是央行第一次公开提醒人脸识别的安全隐患。早在今年7月，李伟就曾提到:“现在有些技术可以识别3公里以外的人脸，顾客刷脸时不表达主观愿望，这是一件可怕的事情。”

安全风险导致担忧

随着人脸识别的普及，刷脸支付这种新的支付方式开始进入公众的视野。虽然人脸识别的应用场景很多，但难点在于支付环节的应用安全要求更高，离线场景更复杂，开放环境和公共设备的挑战更大。

2017年9月1日，支付宝在肯德基kpro餐厅推出刷脸支付，省去了手机媒体，通过刷脸支付。这是世界上第一个刷脸支付的商业试点。自2018年以来，支付宝和微信支付先后推出了“蜻蜓”和“青蛙”，瞄准线下支付场景，试图掀起另一场支付革命。

为了促进刷脸支付的快速普及，在推广过程中，双方经常伴随着补贴和奖励活动。例如，微信支付对支付服务商有一定的补贴，主要是基于硬件设备的奖励加上支付交易的次数，针对普通用户的营销活动包括随机降价等活动。如今，地铁、超市、便利店、药店...在支付宝和微信支付的大力推广下，刷脸支付在网上支付场景中的应用越来越广泛。

北京商报记者今天在一家蛋糕店用支付宝“蜻蜓”支付自己的脸时，发现点击屏幕支付自己的脸后，编码后的记者支付宝账号在1秒钟识别后直接显示出来，付款在底部确认，点击后扣款成功。根据屏幕显示，支付宝有一个随机降价活动，最高为288元。然而，该店员告诉记者，目前刷脸付款的人很少，大多数顾客仍会选择支付宝支付码扫描该码。

“从实用的角度来看，我更喜欢使用一种不会暴露太多个人生物特征的验证方法。人脸识别验证让我在体验中感到不舒服，我不想被相应的组织获得。”在与业界沟通时，《今日北京商报》记者发现，隐私风险、体验问题和对刷脸支付安全性的担忧已成为用户不愿轻易使用刷脸支付的原因。

不久前，一个名叫zao的应用程序爆炸了。用户上传了一张照片，并使用人工智能变脸功能将短片中的演员变成了自己的脸，这样他们就可以“对戏剧上瘾了”。目前，人脸识别技术的准确率还不到100%，对于相似度高的人脸很难避免识别错误。此前，有很多案例存在漏洞，比如儿子解锁母亲人脸识别的能力，双胞胎姐妹刷脸并取走姐姐账户的钱，以及3d打印成功刷脸付款，这些都对刷脸付款的安全性提出了更高的要求。

关于刷脸支付的安全性，支付宝今天告诉北京商报，支付宝的“刷脸支付”使用3d人脸识别技术。在人脸识别之前，通过软硬件结合的方式进行检测，判断采集的人脸是由照片、视频还是软件模拟生成的。据微信支付团队介绍，微信刷脸支付采用3d活体检测技术，综合运用3d、红外、rgb等多种模式信息，能够抵御视频、纸片和面具的攻击。一些用户需要输入绑定到微信账户的手机号码或扫描二维码进行验证。

探索辅助验证方法

“正如中央银行领导人所说，有一些技术可以探测3公里以外的人脸。如今，高端智能手机的镜头可以放大，甚至有些手机可以拍月亮。使用这种设备，你还可以从远处获取面部数据，然后在未经你允许的情况下扫描你的面部。银行卡在你的口袋里。脸暴露了。考虑到用户是否真的想使用面付费，还需要其他验证方法。”苏宁金融研究所金融技术中心主任孙杨说。

孙杨今天在接受《新京报》采访时表示，央行领导特别提到，客户应该表达自己的意愿，用户在不同的环境、商户和时间有不同的支付交易风险水平，因此必须根据支付交易风险水平进行多次验证。人脸识别支付应用程序可以探索通过手动输入密码、短信验证码、语音验证、静脉验证、指纹验证和数字屏蔽来帮助人脸识别认证的方法。

在央行今年8月发布的金融科技发展规划中，还提出探索人脸识别离线支付的安全应用，利用密码识别、隐私计算、数据标签、模式识别等技术实现交易验证，突破1: N人脸识别支付应用的性能瓶颈，构建以人脸特征为授权金融机构路由标志的转账清算模式，实现支付工具安全性和便捷性的统一。

目前，刷面支付的商业化仍处于起步阶段，新事物的成长需要时间。孙杨表示，发展刷脸支付和交易的机构，首先要确保安全，在用户知道的前提下合法获得用户授权，同时也要确保人脸生物特征数据不被收集到超出范围，人脸数据不被用于其他目的。

李伟指出，鉴于人脸识别高度依赖人工智能算法模型，攻防技术不断迭代升级，要积极建立和完善风险补偿基金、保险计划、应急处置等风险补偿机制，综合运用各种信息技术，加强人脸特征信息的端到端全链安全保护，有效保护消费者资金和信息安全。目前，微信支付和支付宝都告诉《今日北京商报》记者，如果账户资金因刷脸支付而损失，他们可以申请全额赔偿。