近年来，人脸识别、指纹识别等身份认证技术成为手机银行的“标配”，在帮助用户提高效率的同时，也产生了一些弊端。最近有用户发现，在光大银行手机上转账时验证的指纹不是我在银行输入的指纹，而是手机里存储的指纹。基于这一发现，用户质疑“指纹识别”限制生产的高功率。

作者周一航

编辑韩

一位用户将86万元存款存入中国光大银行。但这些存款在短短八天内就被洗劫一空。

“没有交易密码和短信验证码，存款是怎么被盗的？”一开始用户很疑惑。直到她家人查询登录设备，发现小偷是通过指纹登录手机银行账户，通过指纹支付的方式盗取存款的。

随后，她的家人按照光大银行的指纹识别流程对转账系统进行了测试，并对系统的安全性提出了质疑。转账过程中验证的指纹不是银行卡主人的指纹，而是小偷的指纹。

近年来，随着大数据、云计算和人工智能技术的发展，生物特征识别(人脸识别和指纹识别)的应用已经成为手机银行的“标配”。然而，在为用户提供高效便捷服务的同时，也为一些别有用心的人提供了可乘之机。

0186万存款被盗刷背后。

2021年8月，年过六旬的文辉在光大银行柜台办理了一张储蓄卡。开通手机银行功能后，存入10万元。然而，让她没想到的是，这笔钱只在她的账户里呆了很短时间，就“消失”了。

文慧对存款被盗一事一无所知。接下来的一周，老人陆续往卡里转了三笔存款，最多的一笔是38万元。这三笔存款也没能逃脱被盗的命运，存入后立即被洗劫一空。

算上最初的10万元，文慧将自己的86万存款全部转入该账户。但由于老人日常开销小，取钱的机会很少。直到2021年8月12日，文慧急需一笔钱，连续几次交易失败后才发现账户异常。

(8月3日-8月10日银行账户交易流水，来源：用户提供)

文辉的家人立即报警，并联系银行冻结账户。但是已经太晚了。8月3日至8月10日期间，存款被盗。对此，文飞的家人无法理解，——的转账限额只有5万元。在没有收到短信验证码的情况下，小偷是如何在短时间内盗取大额存款的？

林浩(文辉家属)查询了账户近期的登录设备，记录显示小偷在一台OPPO手机上通过指纹登录了银行账户，然后通过指纹支付完成了几次大额转账。

(来源：用户提供)

一般情况下，在光大银行手机上转账需要交易密码和短信验证码进行双重验证。如果启用指纹支付，只需要交易密码和指纹就可以完成交易，还可以修改转账限额为50万元。

为了进一步了解情况，林浩对光大银行的转账系统进行了测试，并用视频记录了测试的全过程：首先在手机设备上登录文辉的银行账户，输入交易密码，然后进入指纹验证阶段。戏剧性的一幕出现了。——林浩用他的指纹成功地将文慧账户的存款转账。

这一发现让文辉的家人大吃一惊：如果窃贼已经掌握了对方的交易密码，他就可以利用自己手机设备上的指纹盗取其他用户的存款。

同时，林浩提供的一段与光大银行客服的对话录音显示，用户开通指纹支付后，交易时验证比对的指纹是手机主人的指纹，而不是卡主的指纹。

“在银行网点开卡有输入指纹的链接，但在手机端登录、转账时核对的指纹来自手机系统，不是银行系统。”林浩认为，光大银行的转账系统存在漏洞。在指纹认证过程中，银行没有尽到责任，而是把验证指纹真伪的权力交给了手机厂商。

对于交易密码泄露过程，——林浩推测，老人手机上的软件数量少，习惯使用同一个密码。有可能是小偷通过黑客攻击与其他软件碰撞，破解了她的银行卡交易密码。

在裁判文书网，确实有类似案件的判决记录：某犯罪嫌疑人非法购买公民个人信息，通过黑客手段与受害人信息发生碰撞，最终破解受害人账号和密码。本案中，光大银行因未能保障客户存取款交易安全不受非法侵害，被判负全责。

(来源：中国裁判文书网)

对此，文慧的家人认为：“在银行存款被盗之前，老人并没有进行网银操作，甚至连手机、银行卡、身份证都没有离开。因此，光大银行也未尽到保障用户银行卡信息安全的义务。"

到现在，存款被盗已经一年多了。关于案件的进展，国家信访局的信息显示，经过大数据查询，这笔钱已经转入外部账户。目前无法确定嫌疑人身份，大概率在缅甸附近。

“这钱是文慧和她妈妈一辈子的积蓄，以后要留给孩子。”林浩说：“我们也很难接受这样的结果。”

02、生物识别安全几何？

市场在重新梳理了文慧存款被盗的过程后，发现在光大银行手机上首次登录时需要输入手机号、登录密码和短信验证码。指纹登录功能开启后，省去了登录密码和验证码的环节，可以直接通过指纹登录账号。

但在开通指纹支付的过程中，还需要输入交易密码和短信验证码，最后通过人脸识别验证，才能开通指纹登录和指纹支付功能。

也就是说，除了交易密码泄露，文慧的短信验证码也可能被盗。

近年来，电信诈骗猖獗。

在文惠的印象中，她没有点过不明链接，也不太清楚自己的密码和短信验证码究竟在哪个环节泄露，家人只能试图从她的描述中来还原事件的整个过程。

值得一提的是，盗刷者在进行第一笔大额转账时，光大银行后台曾给文惠打过两个视频电话核实身份，但文惠没有及时接到，导致第一次的交易因审核未完成而取消。随后，光大银行将验证方式改为了人脸识别联网核查（点头、张嘴、转头等方式），验证了“文惠”的面容，六分钟后，该笔交易成功。

林浩查询转账明细后发现：盗刷者共进行了9笔大额转账。只有第1笔交易有人脸识别的联网核查，其它交易仅通过交易密码和指纹认证的方式就被转出。

（来源：用户提供）

“一般来说，不法分子会通过多种非法渠道来获取人脸照片。”人脸识别专家刘天表示：“有可能是利用证件照片或是本人视频截屏（被骗进行视频通话）；或是通过合成照片后进行面部替换，生成张嘴、眨眼、转头等动态人脸；还有可能是利用网络攻击手段，在不启动摄像头的情况下，向系统中注入伪造的动态视频来通过人脸认证。”

蓝田是一名在人工智能科技公司工作的技术人员。谈及生物识别的发展现状，蓝田认为：目前的人工智能技术已较为成熟，基本可以做到防范诈骗。但由于人脸识别或指纹识别在不同的场景应用时涉及成本、用户体验、检测速度等一系列问题，致使不同银行选择的安防系统不同，所以安全等级也会不同。

至于指纹和人脸的安全性问题，刘天表示：“这是个老生常谈的问题。重点要看银行、手机厂商是否愿意承担高成本。如果成本不受限制，指纹和人脸的安全性相差不多——虽然指纹识别属于接触式识别，可能会受汗水、灰尘等影响，甚至还存在部分指纹的纹理恰巧在算法的盲区，无法被识别的情况。但这毕竟是小概率事件，从社会的发展角度来看，使用生物识别的便捷性要超过弊端。”

目前人工智能技术供应商也在帮助银行升级风控系统，进行AI反欺诈管理——根据数据判断是否存在异地登录等一系列涉嫌欺诈的行为，一旦触发风险条件，系统会自动执行强控制措施。

“但如果银行选择的系统安全性不过关，那么攻击者有可能会通过代码开发对银行App、手机系统动手脚，入侵人脸识别的底层系统，劫持摄像头，在银行App不启动摄像头的情况下，把视频流直接传给银行App，也能绕过活体检测。”

03、指纹权限过高？

目前，生物识别（人脸识别、指纹识别）已广泛应用于各类场景，对于注重交易安全的银行业来说，更是占据着举足轻重的地位。

在上市银行公布的2022年半年报中，“金融科技”无疑是高频词汇。2022年上半年，多家商业银行将发展金融科技、推进数字化转型提升到更高的战略层面，金融科技投入金额和科技人才数量占比同比均大幅提升。

以光大银行为例，截至2022年6月30日，公司科技投入21.38亿元，同比增长25.47%；全行科技人员2598人，比上年末增加237人，占全行员工的5.69%。

除此之外，光大银行还在半年报中表示：公司深化建设“123+N”数字银行发展体系。“一个智慧大脑”持续赋能，开发训练算法模型超900个；实现多模态生物识别的交叉应用，覆盖场景500余个。

“从目前情况来看，包括工农中建在内的国有四大行，拥有自己的人工智能开发中心和业务系统；但也有一些城商行受成本和需求影响，选择从外包公司采购搭载着算法和模块的相应产品。”蓝田表示：“有的银行将重点放在人脸识别上，有的银行是OCR（身份证、银行卡图文识别），有的较重视AI反欺诈，有的是规范网点行为······不同银行的需求不同，最终选择的算法模块也会不同。”

通常情况下，模型越复杂，运行速度越慢，但同时识别精度和准确率也会越高。考虑到用户体验感以及卡顿等因素，部分手机厂商会选取轻便化的模型，减少部分算法流程来提高运行速度。但银行对安全性的要求极高，这样的模型无法满足基本要求。

在与文惠家人交谈的过程中，有一句话让人深刻——我明白银行进行生物识别认证的初衷是为了增加安全屏障，但从效果来看，似乎并不尽如人意。

如其所说，即便文惠存在信息泄露的情况，最初的转账限额也仅为5万元。但盗刷者利用不属于老人的指纹，来调高转账限额，致使老人蒙受巨额损失。

“既然无法保证绝对的安全性，为何指纹识别可以拥有替代短信验证、甚至是调高转账限额这样的高权限？”

而光大银行沈阳市铁西支行（文惠开卡网点）则认为：老人存款被盗走的根本原因是遭到了电信诈骗，并非是因为银行的漏洞导致被骗。该行行长同时还表示：关于此事，总行会给监管回复。

市界查询其它银行APP后发现，大部分银行在进行转账交易时需要输入交易密码和短信验证码进行验证。即便是开通了指纹支付功能，也仅能应用于购买电影票等生活类场景，并不具备转账权限。

面对猖獗的电信诈骗，许多年轻人尚不能保证自己不会落入其中的陷阱。对于老人群体来说，他们更需要社会的保护和关怀。在这场魔与道的较量中，银行唯有不断升级风控系统，降低风险概率，才能最大限度地减少用户的损失。

（文中文惠、林浩、刘天、蓝田均为化名）

（除单独标注来源外，以上图片来自视觉中国）