“你方唱罷我登場”，繼指紋支付、靜脈支付、刷臉支付等之后，“刷掌支付”也要來了。日前，“微信上線刷掌支付”登上熱搜。在微信上，“微信刷掌支付”小程序已上線，其主體為財付通支付科技有限公司。“刷掌支付”，是將生物識別技術(shù)運用于支付領(lǐng)域的一種新嘗試。在確保安全的情況下，“刷掌”可以成為支付驗證的輔助手段之一。但“刷掌支付”從探索到推廣，還面臨多重挑戰(zhàn)和問題，對生物識別技術(shù)在支付領(lǐng)域應(yīng)用的規(guī)制也應(yīng)進(jìn)一步加強(qiáng)。

近年來，隨著信息科技快速發(fā)展，技術(shù)創(chuàng)新與支付領(lǐng)域深度融合發(fā)展。支付機(jī)構(gòu)和金融機(jī)構(gòu)應(yīng)用生物識別技術(shù)，紛紛推出相關(guān)產(chǎn)品和服務(wù)。如借助人臉識別技術(shù)完成日常支付即“刷臉支付”，在人們生活中開始出現(xiàn)并獲得不少人使用。而目前備受關(guān)注的 “刷掌支付”，也是將生物識別技術(shù)運用于支付領(lǐng)域的一種新嘗試、新方式。

“伸手感應(yīng)，識別支付”，“刷掌支付”由騰訊優(yōu)圖和微信支付合作推出。從具體應(yīng)用看，刷掌設(shè)備由騰訊方面提供，設(shè)備上設(shè)有顯示屏和掌紋識別區(qū)。目前，騰訊已在部分地區(qū)推廣“刷掌支付”，在授權(quán)場景中，可以通過手掌識別快速完成付款或者身份驗證。比如，用戶開通“刷掌支付”功能后，只需要在掌紋識別區(qū)進(jìn)行掃描，即可完成日常消費的支付。其實早在2021年8月，微信就開始內(nèi)測“刷掌支付”。當(dāng)時，微信在公開回應(yīng)中表示，“刷掌支付”僅為微信內(nèi)部技術(shù)預(yù)研，未開啟測試，也無應(yīng)用計劃。直到日前，“微信刷掌支付”小程序上線，再度引發(fā)市場關(guān)注。

【資料圖】

與此同時，騰訊科技（深圳）有限公司申請了多項與“刷掌支付”相關(guān)的專利及商標(biāo)。例如，在專利方面，“企查查”信息顯示，騰訊已申請了識別模組及掌部生物信息識別設(shè)備、刷掌設(shè)備、識別設(shè)備和支付設(shè)備等專利。在商標(biāo)方面，2022年8月以來，騰訊已申請“微信刷掌支付”“微信刷掌服務(wù)”“微信刷掌”等多個商標(biāo)。顯然，騰訊在“刷掌支付”方面的探索并非一時興起，而是從技術(shù)、專利、商標(biāo)以及場景等方面進(jìn)行了全方位布局。

不可否認(rèn)的是，“刷掌支付”具有一些獨特的優(yōu)勢。與其他應(yīng)用生物識別技術(shù)進(jìn)行支付如人臉、指紋、靜脈等支付方式不同的是，“刷掌支付”有兩個突出的特點。第一，可以在應(yīng)用生物識別特征識別時加入人的主觀因素，比如每個人的手勢可以不同。從這個意義上講，“刷掌”的個性化和安全性程度更高。第二，在疫情防控期間，使用受到的限制和約束更少。當(dāng)前外出戴口罩成為普遍行為，因此“刷掌”比“刷臉”更方便，也更有助于降低病毒傳播的風(fēng)險。因此，在確保安全的情況下，“刷掌”可以成為支付驗證的輔助手段之一。

但是，單純從技術(shù)本身看，“刷掌支付”能否大規(guī)模推廣應(yīng)用面臨著硬件環(huán)境和場景選擇雙重約束。從硬件環(huán)境看，“刷掌支付”需要專用的刷掌設(shè)備，這是“硬約束”。盡管騰訊方面提供刷掌設(shè)備，但設(shè)備從生產(chǎn)到鋪設(shè)、商家從接受到學(xué)習(xí)都需要時間，設(shè)備成本是否會轉(zhuǎn)移到商家以及終端用戶目前也并不明確。從場景選擇看，“刷掌支付”主要應(yīng)用于線下場景，這是“軟約束”。在線下場景中，銀行和非銀行支付各行其道，“刷掌支付”恐難脫穎而出。而且，在科學(xué)精準(zhǔn)防控二十條措施公布之后，疫情防控政策不斷調(diào)整優(yōu)化已經(jīng)成為趨勢。如果經(jīng)濟(jì)社會回歸正常，公眾摘下口罩，“刷掌支付”相比“刷臉支付”的優(yōu)勢也將消失。對用戶而言，在眾多支付驗證方式中，“刷掌支付”能否被青睞還有待驗證。

更需要引起重視的是，技術(shù)一把雙刃劍。就支付領(lǐng)域而言，新技術(shù)的應(yīng)用往往伴隨著新風(fēng)險的產(chǎn)生。據(jù)媒體報道，北京市民李紅（化名）被詐騙人員從她的交通銀行卡騙走近42.9萬元，近期發(fā)現(xiàn)交通銀行的人臉識別技術(shù)存在嚴(yán)重漏洞。報道顯示，李紅被騙當(dāng)天共有7次操作涉及人臉識別，均顯示識別成功通過，其中1次為借記卡申請、1次為登錄密碼重置、5次為大額轉(zhuǎn)賬，除了第一次不涉及活檢，后6次操作“活檢結(jié)果”均為成功。雖說掉入詐騙分子的圈套是造成李紅被騙的主要原因，但I(xiàn)P地址顯示為我國臺灣地區(qū)的詐騙分子，居然6次順利通過交通銀行的人臉識別比對。堂堂一家大型銀行，人臉識別系統(tǒng)如此被輕易攻破，匪夷所思。據(jù)報道，除李紅之外，還有多位交通銀行用戶也有類似遭遇，被騙金額超過200萬元。

具體到“刷掌”技術(shù)，該技術(shù)在提升支付服務(wù)便捷性的同時，同樣可能存在一些已知或未知的風(fēng)險，技術(shù)的安全性和系統(tǒng)的可靠性需要得到進(jìn)一步的驗證。

一是信息泄露風(fēng)險。生物識別特征具有唯一性，如果泄露后果嚴(yán)重。不法分子或可在公共場所非法獲取用戶掌紋等信息，導(dǎo)致基于掌紋的身份認(rèn)證系統(tǒng)可被輕易繞過。賬戶密碼被盜尚且可以修改，掌紋信息被盜可能難以找回。

二是算法漏洞風(fēng)險。目前，活體檢測等算法仍在快速迭代，識別通過率、誤識率等關(guān)鍵指標(biāo)相互關(guān)聯(lián)、難以兼顧，且容易受到外界環(huán)境因素干擾。其中可能存在隱藏的未知漏洞，一旦被不法分子發(fā)現(xiàn)并利用，將產(chǎn)生系統(tǒng)性風(fēng)險。

三是假體攻擊風(fēng)險。在人臉識別中，不法分子通過照片、視頻、高仿面具等手段，仿冒用戶人臉進(jìn)行2D或3D攻擊，屢見不鮮。在“刷掌支付”應(yīng)用中，假體攻擊等新型攻擊手段是否還會出現(xiàn)，還需要進(jìn)一步觀察。

而且，當(dāng)下一些金融機(jī)構(gòu)和支付機(jī)構(gòu)自以為掌握（或引進(jìn)）一些技術(shù)，在應(yīng)用生物識別技術(shù)的時候，更多考慮用戶體驗，而未充分評估和防范其中的風(fēng)險。這種不審慎的行為，給金融業(yè)務(wù)埋下了風(fēng)險隱患。過度的便捷往往給不法分子帶來可乘之機(jī)，通過遠(yuǎn)程、非接觸方式，在用戶本人毫無察覺的情況下“無聲無息”地獲取用戶的生物識別信息，且手機(jī)號碼作為用戶社交工具也極易被獲取，從而導(dǎo)致“隔空盜刷”問題出現(xiàn)。

無論是中國人民銀行公布的《金融科技發(fā)展規(guī)劃（2022-2025年）》還是銀保監(jiān)會公布的《關(guān)于銀行業(yè)保險業(yè)數(shù)字化轉(zhuǎn)型的指導(dǎo)意見》，都對堅守安全底線、防范技術(shù)風(fēng)險提出明確要求。2022年10 月，央行公布《金融領(lǐng)域科技倫理指引》，對金融領(lǐng)域開展科技活動需要遵循的守正創(chuàng)新等七個方面，提出價值理念和行為規(guī)范。由于互聯(lián)網(wǎng)的虛擬化、金融服務(wù)的數(shù)字化、參與主體的多樣化，當(dāng)前金融科技風(fēng)險呈現(xiàn)蔓延速度快、隱蔽性強(qiáng)、潛伏期長、外溢效應(yīng)明顯等特點，支付機(jī)構(gòu)和金融機(jī)構(gòu)在敏感信息保護(hù)、客戶資金安全等方面面臨較大壓力。

因此，無論是支付機(jī)構(gòu)還是金融機(jī)構(gòu)，在應(yīng)用生物識別技術(shù)時，都應(yīng)把安全性放在第一位，以最嚴(yán)格的標(biāo)準(zhǔn)審慎對待，在確保安全的前提下合理審慎應(yīng)用。從技術(shù)的層面看，應(yīng)采取數(shù)據(jù)脫敏、隱私計算、分散存儲等多方面措施，保障生物識別技術(shù)安全應(yīng)用。下一步，支付機(jī)構(gòu)、金融機(jī)構(gòu)應(yīng)正確把握安全與發(fā)展、風(fēng)險與創(chuàng)新的關(guān)系，認(rèn)真落實相關(guān)要求，確保新技術(shù)、新產(chǎn)品安全合規(guī)，并在充分告知風(fēng)險的情況下為消費者提供多種選擇。如果由于新技術(shù)不當(dāng)應(yīng)用給消費者帶來損失，應(yīng)主動承擔(dān)相應(yīng)的責(zé)任。

生物識別技術(shù)在金融行業(yè)的快速發(fā)展和應(yīng)用，引起全球范圍普遍關(guān)注，呼喚更全面完善的法律規(guī)制和技術(shù)標(biāo)準(zhǔn)。在我國，《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》構(gòu)建了個人信息保護(hù)的“三駕馬車”，應(yīng)加強(qiáng)法律執(zhí)行的檢查和處罰，確保各方在法律框架之下依法合規(guī)行事。2018年10月，我國金融行業(yè)首個生物特征識別安全標(biāo)準(zhǔn)《移動金融基于聲紋識別的安全應(yīng)用技術(shù)規(guī)范》公布。金融管理部門應(yīng)加快出臺并不斷完善生物識別技術(shù)在支付領(lǐng)域的應(yīng)用規(guī)范、技術(shù)標(biāo)準(zhǔn)等，推動各類參與主體提高認(rèn)識、增強(qiáng)能力，共筑支付安全防線。消費者要全面理性地看待技術(shù)創(chuàng)新和應(yīng)用，增強(qiáng)識別和防范詐騙的意識和能力，并妥善保護(hù)好個人敏感信息，降低信息和隱私泄露風(fēng)險，自我守護(hù)好“錢袋子”安全。

（董希淼系中關(guān)村互聯(lián)網(wǎng)金融研究院首席研究員、復(fù)旦大學(xué)金融研究院兼職研究員、中國電子銀行網(wǎng)專欄專家）

關(guān)鍵詞： 生物識別 金融機(jī)構(gòu) 的情況下