[新聞] 中信銀開放簡訊驗證 免註冊防網路盜刷

[grandpa (阿公or爺爺)]

中信銀開放簡訊驗證　免註冊防網路盜刷

交易密碼次次不同　輸入無誤交易才成立

記者  林惠琴  報導      2012/09/13

國內電子商務交易金額屢創新高，成為不肖份子眼中值得開發的「沃土」，相關詐騙、盜
刷事件頻傳，使得消費者對於網路交易的安全性產生不信任感，顯然安全議題已是經營網
購市場的難題。中國信託今(13)日宣布，「網路刷卡簡訊驗證服務」將全面開放，一律免
費、免註冊，提供多一層把關機制。

　　根據經濟部商業司的資料顯示，去(2011)年台灣B2C(企業對消費者)的電子商務市場
規模達3,225億元，估計今(2012)年B2C與C2C(消費者對消費者)的電子商務產值上看6,000
億元。不過隨著網購商機蓬勃發展，網路盜刷事件層出不窮，日前連親民黨立委李桐豪與
台北市議員黃珊珊也曾受害遭殃。

　　為了提供更完善的網路刷卡交易環境，國際發卡組織與各銀行業者積極開發新的驗證
機制。今日中國信託領先同業宣布，自即日起「網路刷卡簡訊OTP(One Time Password)驗
證服務」全面開放，不論是持中國信託發行的VISA、MasterCard、JCB信用卡，或是簽帳
金融卡，都一律適用。

　　中國信託表示，當持卡人至網路商店選購商品，確認購物清單，按下結帳鍵後，將進
入結帳網頁，待完成填寫個人基本資料與銀行信用卡卡號，網站會顯示網路服務刷卡驗證
視窗，系統並同步發送網頁識別碼與交易密碼至卡友手機，經確認網頁識別碼、輸入交易
密碼無誤後，該筆交易才會成立。

　　中國信託指出，由於每次發送的交易密碼均不同，具有不可預測性、不重覆性、當次
有效性等三大特點，駭客無法以用戶的原密碼進行盜用，可防堵網路盜刷、詐騙事宜，而
且持卡人不只免付費、免註冊，也不必下載元件或安裝軟體。若卡友留存的電話非現行使
用的號碼，記得去電更新，以免權益受損。

　　其實「網路刷卡簡訊驗證」並不是新服務，包含中國信託、國泰世華、台北富邦、台
新、渣打…等銀行，就已實行許久，只是多半有一定的申請程序。像是中國信託原本要求
卡友須完成線上註冊設定，系統才會發送驗證密碼，但自即日起不必註冊也適用，將針對
全卡友放送，如欲取消再去電辦理即可。

　　而早在2年前，永豐銀行也曾發行一張Display Card，就首創內建OTP的技術，卡面上
具有6位數的動態密碼螢幕，持卡人不論是從事「非約定帳戶轉帳」或「信用卡網路驗證
碼」等交易時，即可輸入密碼以獲得保障。



--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 122.201.161.17
推 herewego:新聞倒數第二段那個銀行名單沒問題嗎?怎麼沒聽過國泰世華
→ herewego:有這種網路刷卡OTP
※ 編輯: grandpa         來自: 122.201.161.17       (09/14 15:55)
→ imrt:其實關鍵還是要看條款。誠如各位先學所言，沒有100%安全的措
→ imrt:施。中信用了 OTP 就要持卡人負 100% 盜刷責任的話，大家覺得
→ imrt:可以接受嗎？
推 upurs:我是可以接受,簡訊OTP還算安全
推 KYOFIGHTER:希望每間都有簡訊OTP
→ upurs:除非哪一天犯罪集團利害到可以偽造手機門號來"收簡訊"
→ upurs:目前應該只有偽造來電顯示吧
推 domain:如果是簡訊OTP中獎, 我會吞下去, 毫無疑問!
→ even0213:3,4年前就有徵信業者可以截取你的簡訊內容了.吞下去?
→ even0213:到時候要換誰來反OTP?  還是繼續要求100%免責
推 partake:樓上我覺得你的發文根本是為反而反。簡訊OTP跟預先申請好
→ partake:的3D密碼的狀況完全不同好嗎?OTP光是一個短時間有效性就打
→ partake:趴了預先設定的密碼好嗎?真是XX比雞腿，不倫不類
→ partake:簡訊OTP的特性，就算你盜刷集團的人就坐在我身旁，看著我
→ partake:進行網路購物、看著我輸入OTP。他也完全無法利用我的資料
→ partake:去進行其他的不法交易，先搞清楚好嗎。
→ even0213:我沒在反OTP啊.OTP要同時符合動態密碼及驗証碼,以及2-3分
→ even0213:鐘的輸入限制.側錄你的卡號效期末三碼,再加截取你的簡訊
→ even0213:這筆交易會成立啊.
→ even0213:反3d不就是因為覺得不夠安全卻又要100%歸責消費者,這點!!
→ even0213:既然側錄卡號效期末三碼,再加驗証密碼 安全性太低.
→ even0213:多截取一道你的簡訊密碼,相信也不難吧.這樣歸責消費者
→ even0213:就要吞下去.? 比例原則 又不是菜巿價喊價可以決定的.
→ even0213:因有3D被盜刷十幾萬,跟整個電子商務三千億= 1/30萬的機率
→ even0213:卻有人肯為了大於0.5%的回饋去玩開開關關的遊戲.
→ even0213:卡版上18000篇的文章,被盜刷的不少,到目前就一篇因3d被盜
→ even0213:刷,在推波助瀾之下,連有版友購票看到3d就關掉.這就是風氣
→ domain:截取簡訊密碼不難? (你乾脆說猜出簡訊OTP密碼應該也不難吧)
→ domain:3D、MSC如果很好, 那銀行為何不也用SSL密碼來當非約轉密碼?
→ even0213:七位數密碼猜中的機率小於百萬之之1
→ even0213:我在講截取otp簡訊的密碼難度 vs 3d驗証難度 ,中間增加了
→ even0213:難度,就該等於 100% 消費者承擔?
→ domain:我覺得你在鑽牛角尖了,提款卡密碼被猜出用戶是否要100%承擔
→ even0213:你們不是在反條款不平等嗎,那要增加多少難度,才是標準?
→ even0213:是該用戶承擔.因為用戶有保管卡片跟密碼的責任
→ domain:動態密碼就是標準了
→ domain:既然用戶有保管卡片的責任, 那為何還要設密碼? 反正都100%~
→ even0213:我在跟D大你請教 多少的難度 才是一個標準,可以轉移風險
→ domain:銀行直接發免密碼就能領錢的提款卡不是更方便?反正永遠免責
→ even0213:討論網路交易安全性 vs 責任歸屬.D大你拿實體卡片來比較?
→ domain:只要銀行提供動態密碼, 100%責任我願意扛阿, 這沒啥好說的!
→ even0213:未免有點懶x比雞腿了.增加多少難度 用戶才該承受100風險?
→ even0213:我懂了.標準是D大你建立的.
→ even0213:照secv大被m的文章:肯砸時間跟設備就沒有不能破的系統
→ domain:現在所有銀行非約轉出不是採動態就是採實體晶片卡, 你說呢?
→ domain:在信用卡推出晶片卡認證之前, 也只有採動態密碼這一條路了.
→ even0213:似乎難度跟風險承擔不是比例原則也不是標準,是爽不爽而己
→ domain:因為你一直鑽牛角尖, 所以我才舉提款卡的例子.
→ domain:你不覺得你邏輯有很大的問題嗎?
→ domain:你覺得沒有不能破的系統, 所以用戶不該100%承擔.
→ domain:那我說提款卡被猜出密碼, 為何用戶就要100%承擔?
→ domain:你又說因為用戶有保管卡片的責任, 所以要100%承擔.
→ domain:那我說銀行直接發行免密碼卡片給你就好了, 更方便.
→ even0213:因為條款! 我也說過不贊成100%由消費者承擔! 戰我支持3d?
→ even0213:還有 沒有不能破的...是secv及其它資安的版友的說法
→ domain:簡單講, 動態密碼100%我可以. 就醬~ (你會怕是你家的事...)
推 osakajapan:簡訊OTP我自從轉帳以來就記得有很久了...。
推 edenda:會怕剪卡 不要為反而反
推 edenda:信用卡本來就有風顯 要用又要銀行完全負責 銀行又沒逼人辦
推 ck890381:推文完全體現中信的原罪啊。