買個煎餅果子都能掃碼 ,央行出手整治“掃一掃”
條碼（如二維碼）支付已廣泛普及，一張紅色毛爺爺一個月也花不出去，出門消費全靠掃碼，連煎餅果子攤的攤主都接受“掃一掃”……
條碼支付在給人們的生活帶來便捷的同時，也積累了一些風險隱患，盜刷、二維碼植入木馬病毒等問題時有發生，央媽對此也操碎了心。因此，為規范條碼支付，12 月 27 日，央行發布《條碼支付業務規范（試行）》（下稱“《規范》”），新規對消費者使用條碼支付付款將實行交易限額管理，對特約商戶受理條碼支付進行收款也提出相應要求。
核心要點搶先看：
1、對消費者來說，《規范》鼓勵消費者使用動態條碼進行支付，并根據交易驗證方式不同將風險防范能力分為 A B C D 三級，不同等級每日交易限額不同；特別是我們常用的靜態條碼支付，同一客戶單個銀行賬戶或所有支付賬戶、快捷支付單日累計交易金額應不超過 500 元。
2、對商戶來說，條碼支付特約商戶將實行實名制管理。特約商戶要提交營業執照等證明文件，以及法定代表人或負責人的有效身份證件等申請材料。條碼支付特約商戶將被納入特約商戶信息管理系統及黑名單管理機制，在黑名單上的商戶將無法開通條碼收款業務。
3、對銀行和支付機構來說，強調業務資質要求。明確支付機構向客戶提供基于條碼的付款服務時，應取得網絡支付業務許可；支付機構為實體特約商戶和網絡特約商戶提供條碼支付收單服務的，應當分別取得銀行卡收單業務許可和網絡支付業務許可。
同時，銀行、支付機構應當加強條碼支付收單業務管理，嚴格遵守商戶實名制、商戶風險評級、交易風險監測等基本規定。為實體特約商戶提供收單服務，應履行本地化經營、商戶定期巡檢責任；為網絡特約商戶提供收單服務，應強化對網絡支付接口的使用管理和交易監測，采取有效的檢查措施和技術手段對其經營內容和交易情況進行檢查。
4、已開展條碼支付業務的銀行、支付機構應當全面梳理自身條碼支付業務情況（含境內、跨境、境外業務）并形成報告，包括但不限于按年度統計的業務量、產品介紹、業務流程、技術方案、風險管理機制、境內外機構合作情況、資金清算模式、收費標準及利潤分配機制、客戶權益保護措施、外包服務機構信息及外包范圍、以及根據本通知進行自查的情況及整改方案等。2018 年 1 月 31 日前，全國性銀行將報告報送人民銀行總行，其他銀行和支付機構將報告報送法人所在地人民銀行分支機構。
5、《規范》將在 2018 年 4 月 1 日起正式實施。
條碼付款將實行分級限額，鼓勵使用動態碼
在了解《規范》之前，先來搞清兩個概念。《規范》將條碼支付分為付款掃碼和收款掃碼：
“付款掃碼”是指付款人通過手機、Pad 等移動終端識讀收款人展示的條碼完成支付的行為，是用戶主動掃碼付款，俗稱“主掃”；
“收款掃碼”是指收款人通過識讀付款人移動終端展示的條碼完成收款的行為，是用戶被動掃碼支付，俗稱“被掃”。
由于在此前的試點應用中，條碼支付風險乃至用戶資金損失多發生于“主掃”，特別是“主掃”靜態條碼，《規范》以限制靜態掃碼限額和約束銀行、支付機構開展付款掃碼服務的具體行為與風控措施并要求他們提供客戶權益受損解決機制等具體條款，引導付款人“主掃”經過安全加密和設置有效期（一般為一次性條碼）的動態條碼，將商戶的較大金額收款行為也引導到“被掃”上來。
通俗講，由于外面商戶的二維碼可能隱藏著病毒或危險鏈接，所以作為消費者，在進行掃碼付款時，盡量讓對方掃我們（也就是“被掃”），這也不失為一種自我保護。
為保護消費者的資金安全，《規范》要求對付款人實行分級限額管理，分級的依據就是支付時使用的交易驗證方式和靜態或動態條碼的不同。具體不同等級的劃分標準和交易限額如下：
這里需要強調的是，首先，分級限額管理是針對消費者等付款方，而不是針對商戶等收款方，也就是說，以后用二維碼花錢是要有限額管理的，但收款是沒有限額要求。
其次，我們平日里用的最多的條碼支付是靜態條碼，比如煎餅果子攤上張貼一張二維碼圖供顧客來掃碼支付。但如果某天來了個土豪一口氣訂了一百多個煎餅果子，但這些煎餅果子的價錢超出了一天 500 元的支付限額怎么辦？
這時，煎餅果子攤主可以選擇掏出自己的手機，點擊收付款，靜態碼變動態碼，就可以收款啦！這也說明，《規范》是鼓勵使用動態條碼，畢竟這個安全性更高。
此外，即便我們習慣了使用靜態碼支付，但一天 500 元的限額也不影響交易體驗。市場統計表明，條碼支付業務量的 95% 是單筆 500 元以下的小額交易，2017 年上半年筆均百元左右。數據充分體現出條碼支付小額、便民的特征。
強化條碼支付特約商戶管理
在對消費者等付款方通過分級限額管理予以安全保護的同時，《規范》也從商戶的角度，強化對特約商戶合法合規性的管理。
《規范》要求，具備開展條碼支付業務資質的銀行、支付機構拓展條碼支付特約商戶，應遵循“了解你的客戶”原則，確保所拓展的是依法設立、合法經營的特約商戶，落實實名制規定，嚴格審核特約商戶的營業執照等證明文件，以及法定代表人或負責人的有效身份證件等申請材料，確認申請材料的真實性、完整性、有效性，并留存申請材料的影印件或復印件。
更為重要的是，并不是所有商戶只要提交營業執照，以及相關負責人的有效身份證件就可開通條碼收單服務，成為特約商戶。一些有不良信息記錄的商戶將無法成為特約商戶。
《規范》稱，中國支付清算協會、清算機構應將條碼支付特約商戶納入特約商戶信息管理系統及黑名單管理機制。銀行、支付機構拓展特約商戶時，應進行查詢確認，如商戶及其法定代表人或負責人在特約商戶信息管理系統中存在不良信息記錄的，應謹慎為該商戶提供條碼支付服務；不得將已納入黑名單的單位和個人，以及由納入黑名單個人擔任法定代表人或者負責人的單位拓展為特約商戶，已經拓展為特約商戶的，應當自該特約商戶被列入黑名單之日起 10 日內予以清退。
央行相關負責人稱，加強對條碼支付特約商戶管理的目的在于排除風險商戶，防范和遏制不法分子利用條碼支付業務隱藏木馬病毒、進行洗錢、欺詐等犯罪活動，更好地維護條碼支付業務參與各方的合法權益。
現實生活中，除了有營業執照的商戶開通條碼收單服務時，一些無營業執照的小微商戶也有受理條碼支付的需求。為了兼顧小微商戶的需求，《規范》明確在符合相關資質審核和認定的前提下，小微商戶可以受理條碼支付。收單機構可以通過審核商戶主要負責人身份證明文件和輔助證明材料為其提供條碼支付收單服務。輔助證明材料包括但不限于營業場所租賃協議或者產權證明、集中經營場所管理方出具的證明文件等能夠反映小微商戶真實、合法從事商品或服務交易活動的材料。
同時，為了防范信用卡套現等交易風險，對以同一個身份證件在同一家收單機構辦理的全部小微商戶基于信用卡的條碼支付收款金額日累計不超過 1000 元、月累計不超過 1 萬元，但受理基于借記卡的條碼支付不受收款額度的限制。
此外，還有一群特殊的“商戶”，他們既沒營業執照，經營規模也不大，甚至都算不上小微商戶，就是小商小販，如水果攤、小賣部。這類商戶開通條碼支付，往往只是在商攤上掛一張個人賬戶的收款二維碼（靜態碼）。為了提高資金安全、防范二維碼風險，業內人士給出了四項小貼士：
條碼支付市場三亂象
條碼支付具有支付便捷、應用門檻低的優勢，在推動和優化我國非現金支付環境建設方面能夠發揮積極作用。
然而這一市場近幾年來迅速發展的同時，積累的風險隱患也愈發突出。央行相關負責人表示，當前條碼支付業務發展中主要存在三方面問題：
一是條碼支付在降低商戶準入門檻的同時，加劇收單市場亂象。由于條碼支付設備成本低于傳統的銀行卡受理終端，還可通過張貼靜態條碼實現收付款業務，能夠滿足小微商戶的非現金支付受理需求。但是，部分市場機構利用條碼可遠程發送、不受專業受理終端限制的特點，加劇了套現、外包管理不到位等收單亂象，存在各類安全隱患。
二是條碼支付在促進移動支付普及發展的同時，出現擾亂市場公平競爭秩序的現象。部分市場機構在開展條碼支付業務時，在定價和市場推廣策略中采取傾銷、交叉補貼等不正當競爭手段，濫用本機構及關聯企業的市場優勢地位，排除、限制支付服務競爭，導致支付行業無序發展和不公平競爭，擾亂市場秩序。
三是條碼支付借助開放互聯網和非專業設備進行交易處理，帶來一定的技術風險：
（1）、可視化風險，條碼在開放互聯網環境下以圖形化方式進行展示，不法分子可通過截屏、偷拍等手段盜取支付憑證，在支付憑證有效期內盜用資金；易攜帶惡意代碼的風險，條碼不僅可存儲支付要素，也可攜帶非法鏈接或程序代碼，不法分子可將木馬病毒、釣魚網站鏈接制成條碼，誘導客戶掃描，竊取支付敏感信息；
（2）、信息單向交互風險，條碼支付相較于銀行卡支付，其使用交易指令單向驗證簡化支付流程從而提升用戶感受的體驗優勢使得其易于被黑客繞過銀行卡身份認證機制，實施“中間人”攻擊，造成用戶資金失竊。
（3）、掃碼設備安全強度低的風險，條碼支付對設備要求低，普通的手機攝像頭、超市簡易的收銀機掃描槍等不具備加密、防拆機等安全功能的設備均可識別條碼，易被不法分子非法改裝使用。
社科院金融所支付清算研究中心特約研究員趙鷂稱，《規范》是條碼支付的“駕駛證”。此前條碼支付過低的市場進入門檻也觸發了市場的無序競爭，“無證駕駛”、“危險駕駛”風險集中。自 2014 年始，各類市場主體唯恐落后于人，部分支付機構采取持續補貼、交叉補貼的方式大搞“跑馬圈地”，將支付業務應有的安全措施的有效性，業務規則的統一性和消費者權益保護的合規性統統置于腦后，造成條碼支付風險頻發。為此，央行果斷采取了暫停業務的監管措施。其后，隨著支付標記化等技術成熟，在移動支付中得到穩健的應用，條碼支付的技術安全得到一定程度的提升，有關各方對條碼支付的業務與技術規范進行持續論證與驗證；但各方仍都期待央行適時推出條碼支付的“駕駛證”與“交規”。今天，央行審時度勢的發布了《規范》，條碼支付從此告別“無證駕駛”與“危險駕駛”。
