数月以来,假冒网银、钓鱼网站窃取客户资料及密码导致储蓄账户资金被盗案件时有发生。
商业银行对存款人账户资金安全的保护能力受质疑。
“钓鱼网站等欺诈交易的发生,虽不能说明银行的系统安全机制已被犯罪分子攻破,但这反映出国内银行在欺诈交易风险管理上,存在着一定的真空地带。”某股份制银行电子银行部一位人士受访时指出,任何银行业务的风险管理均分为事前、事中、事后阶段,至少在事前监测阶段,我们做得是不够的。
国外的银行可以运用一些技术手段做到事前发现可疑,事中进行阻断。
而我们的有些银行是靠事后,大多数都是客户报案了才知道。这是一个问题。
1.“欺诈交易”案发
近年来,国内银行卡、特别是信用卡业务的发展非常迅速。目前信用卡总量已达到2.1亿张,2010年信用卡交易量达5.1万亿元,其中消费金额2.7万亿元。
业务虽高歌猛进,有些银行卡欺诈交易的风险防范意识却甚为薄弱。银行卡欺诈交易的威胁日益严峻。
2009年,国内信用卡产业已形成损失的欺诈交易金额1.74亿元,同比增长5.10%,而据业内人士估计,2010年比2009年至少翻了一番。
随着信用卡的普及、受理环境的改善,信用卡的欺诈时有涌现。
费埃哲信息技术(北京)有限公司副总裁陈建分析称,一方面,随着卡市场的发展,这种欺诈变得非常有利可图,另一方面,欺诈总是倾向于攻击薄弱的环节。
“在欺诈防范的技术手段上初级,风险防范的意识薄弱。
因而欺诈非常容易得逞,欺诈的规模化发展成为一个趋势。”他说。
欺诈风险属操作风险范畴。纵观已发生的欺诈行为,如信用卡套现、盗卡、伪造卡、钓鱼网站等网上支付诈骗等,欺诈犯罪手段并不高明,受害者之中也不乏高学历、高智商的人群。当欺诈交易发生时,指责客户风险防范意识的不足多有失公允,更需银行反省自身,其反欺诈管理是否在意识、技术和机制上存在漏洞和不足。
陈建表示,近来各种欺诈案件频发,中国的商业银行对欺诈交易风险管理已经有所认识,但在具体操作上还需强化。
通常欺诈交易风险管理体系只有最基本的解决方案,即在案件发生后,经客户举报、投诉方才进行案件跟踪以及客户关系处理。
“但是,欺诈交易风险管理最重要的环节是事前的监测和识别,因为案件发生时,损失已经造成,并且对资金的追索、案件的侦破不仅成本巨大,而且难以完成。”陈建说。
银行可以事先有更多作为。比如通过建立模型来分析和发现欺诈行为,从而在不增加存款持有量的情况下改善客户关系,而不仅仅只是对客户做风险教育及提示。
一位接受访问的国有银行电子银行部负责人指出,银行有责任主动发现钓鱼网站的存在,然后及时提醒客户去防范,并协调相关部门关闭这个钓鱼网站,“这方面银行还是有很多改进空间”。
简而言之,即建立一种预测模型,通过对历史交易数据、欺诈活动、持卡人信息的技术分析,来说明账户存在欺诈交易行为的可能性。
此外,具体交易中,银行也可以通过一些辅助手段来帮助客户控制风险。
“比如对网银交易设置更灵活的额度或降低单笔转账金额;比如一笔交易操作完成后,银行在资金转移出去之前,通过客服短信告知客户;针对金额较大、或者较可疑的转账行为,还可以让客服中心人工进行交易确认。”该人士表示。
欺诈交易事前监测与识别十分必要。
从国际上的经验来讲,几乎主要的发卡银行,都采用基于神经网络模型的预测以及大批量实时处理的IT手段,来进行实时的精确的反欺诈,特别是反申请欺诈和交易欺诈。
2.银行“无过错论”?
在已发生的多起欺诈交易中,银行无一不撇清责任,如何看待银行的“无过错论”?
接受采访的一位股份制银行电子银行部人士认为,通过钓鱼网站等方式发生的欺诈交易,确实跟银行的IT系统技术本身没有关系,不过,事件的蔓延与升级,是银行风险管理意识薄弱的体现。
他认为,相对于银行卡市场份额、交易规模的迅速扩大,风险防范和服务手段却并未跟上。“过于注重做功能,而比较忽视客户服务和风险防范。”
一位国有银行科技部人士透露,工、农、中、建四大行目前在IT上的投入超过10亿元,而一家资产规模在1万亿以上的中小股份制商业银行,其每年的IT资金投入也高达2亿,且逐年递增。
“IT投入不仅是在新项目建设上,更大的投入在于老系统的维护费用,所以,每年的IT投入资金量都是大幅递增的。”该人士指出。