国庆，不管是出游，还是宅在家里，都会跟“支付”尤其是电子化的支付亲密接触，可当下，电子支付的形式可是相当严峻的。

    来看几组 “惊心动魄”的数据：

    ●2012年，中国人的海外刷卡总交易量为3000亿元人民币，2013年突破了6000亿，但随之而来的，是信用卡盗刷的投诉增长超过135%。

       ●2013年，中国新增各类病毒和恶意软件为18.8亿个，钓鱼网站总共220.1万个，其中大多数病毒和钓鱼网站都跟网购有关，每个网购者一年中在不知不觉中平均绕过了6个病毒，每千人中就有7个人上过钓鱼网站的当。

●中国网民规模达6.18亿，手机网民规模达5.0亿，占总网民数的81.0%，其中手机支付用户规模达到1.25亿，占手机网民总量的25.0%，而手机端2013年出现上千万个病毒，成为支付病毒的重灾区。

因此，在国庆准备出国的朋友，要保护好银行卡，防止那些神通广大的国际黑客盗刷，而在国内消费的朋友，也要注意那些花样不断翻新的支付陷阱。

想平安过国庆，就要百毒不侵！

海外盗刷：入侵银行商场服务器

       技术特征：多利用漏洞入侵

       犯罪目标：海外刷卡消费人群

人在杭州却冒出境外消费

2014年9月2日，招商银行全币种国际信用卡持卡人费先生接到一条招商银行的刷卡通知短信，短信内容显示：“贵卡7937于9月2日 11时23分境外消费当地币3419.99元，如有疑问请速电：40088—95555【招商银行】”。此时，费先生正身处杭州西溪湿地某酒店开会。打去电话咨询，费先生才知道自己的信用卡被盗刷了——8月7日~13日他去马来西亚出差，为老婆带礼物时刷过信用卡。

海外盗刷已规模化产业化

       在海外，信用卡信息盗窃是黑客的主要谋生手段之一，最初主体几乎都是俄罗斯黑客，后逐渐扩散到以色列、乌克兰和英国等。这些黑客会扫描银行网站和商场网站，寻找入侵漏洞，并通过漏洞渗透进入网站内部，下载网站的数据库，最后就是解密数据库中被加密的数据，找到信用卡数据。例如9月20日，美国知名零售商家得宝(Home Depot)爆出服务器被一款陌生的恶意软件控制，导致5600万信用卡用户信息泄露，而该恶意软件是今年4月被植入的，盗窃信用卡数据对顶尖黑客来说犹如探囊取物般容易。

之后，他们可以伪造信用卡，或者批发信用卡数据，一条信用卡数据在“黑市”黑市的价格从10美元~150美元不等，例如一条中国普通信用卡数据10美元左右，英国普通信用卡80美元左右，金卡100美元左右、白金卡120美元左右、商务卡150美元左右——一张空白信用卡的售价不过2~3美元，还没有信用卡数据贵。

然后，就用写卡器将信用卡数据写入空白信用卡中，一张伪造的信用卡就炮制成功了。然后让“枪手”去商场刷卡消费，“枪手”的费用是消费额的10%~15%，最后再将商品卖出还钱套现。

海外盗刷已形成产业链

董师傅支招

1.去海外消费前，最好将磁条卡替换为芯片卡，可以避免被盗刷。芯片卡里有一个数据段，包含了最关键的交易信息，这个信息刷一次就会变一次，仅知道信用卡账号和密码都没有用。不过有黑客发现，如果记录足够多的交易信息，就可以伪造出数据段，一样可以盗刷，好在这个研究还没有被用于实战。

2.出国前先修改信用卡密码，设置一个临时密码，只在海外使用，回国后第一时间重置密码，这样一来就不怕黑客盗取信用卡密码了。根据盗刷产业链的时间推算，一般来说临时密码在15天内都是安全的。

    3.出国前，临时办一张信用卡，回国后立即取消该信用卡。且该信用卡的额度不要太高，最好在3万元以下，如此一来即使出现盗刷，损失也不扩大。

    4. 不要用国际卡。如果盗刷的是国际卡，只有国内银行和国际银行进行对账以后才会发现盗刷记录，这中间有一个时间差。一旦银行确定是盗刷，会赔付用户，但是这个过程漫长且麻烦。

       5.海外消费时，尽量不要在小商场刷卡消费，这类商场的数据库比较好盗窃。如果只在知名的大商场消费，可以大大降低被盗刷的风险。

    声音

    @重庆静昇律师事务所 周玉婕：

    谁该为盗刷损失买单？持卡人有无过错，是银行索赔持卡人案中的主要裁决依据。根据

1995年至2007年间各级法院审理的案件统计，法院在此类案件的判决结果上有高度共识：支持原告持卡人请求的判决比例高达80%。以9月15日乐清市的一个案例为例，持卡人承受20%的损失，银行承受80%的损失，因此银行需要向持卡人赔偿80%被盗刷的金额。

针对凭签名消费的信用卡，国内已有银行推出失卡保障计划，比如在挂失前48小时内发生的伪冒交易损失，持卡人可向信用卡银行申请补偿。如果银行不补偿，则可以向法院申请仲裁，最后或多或少都可以挽回部分损失。

国内盗刷：POS机暗藏玄机

技术特征：特殊设备

       犯罪目标：国内刷卡消费人群

交保险费交出祸端

2014年5月9日，某快递公司新招了实习员工薛××。当他送快递时碰到要刷卡的，就会先拿出一部POS机让用户刷卡，然后说POS机没有电了，再拿出再一部POS机让用户第二次刷卡。用户没有人怀疑过薛××，最终让他成功盗取4名用户的银行卡信息，造成67万元的经济损失。

盗刷设备一条龙服务

上述案例很有代表性，因为早期不法分子都是将采集器装在ATM上，被严厉打击后销声匿迹了，如今都是将采集器内置在POS机中，然后将POS机插天线位置，插一根DV录像笔，当用户输入密码时，DV录像笔就将客户的信用卡密码录制下来了！如此一来，信用卡的账号和密码都齐备了。

之后，用读卡器将采集器中的数据读出来，再通过电脑和写卡器炮制了一张信用卡。而这个过程，3分钟就就可以搞定。采集器、读卡器、写卡器，网上通过搜索引擎搜索这按个关键词就可以买到，一套成本不到万元人民币。

采集器、读卡器和写卡器一套需要8000元~1万元

董师傅支招

1.在ATM取钱的时候，要先看看插卡处是否凸出，如果跟平时所见有一不一样的地方，就不要插入并报警。目前，在城市已经没有人敢对ATM加装采集器了，但不排除在偏远地区还有人这么干。

    2.最好专门办一张银行卡，不要信用卡，专门用来在外刷卡消费。且里面的钱一次不要存太多。多说一句，不少安全圈的朋友，还有一张网购卡，这种卡网购时才打入钱，平时没有钱，有的人就网购卡和刷卡消费卡合二为一，如此网上网下消费都通过特定的一张银行卡，形成了一道资金防火墙。

    3. 采集器只能记录卡号，无法记录密码，因此保护密码是最后一道安全屏障了。刷卡消费时，一手罩着POS机，一手输入密码，这样就可以避免被不法分子看到密码，也可以防止录像笔等高科技装备拍到密码——有安全实验证明，录像笔不能记全采取遮挡方式输入的密码。

    声音

    @ Silic Group Hacker Army联合创始人 王磊：采集器、读卡器、写卡器等敏感设备以前在淘宝中就有人卖，嚣张至极，就是现在在一些黑客论坛里面也有人在兜售此类产品。通过观察，发现其中有一些是骗人的，盗用网上的敏感设备图片，忽悠年轻人或者学生黑客去购买，如此就算他们发现自己上当受骗了，也不敢声张。这样的案例在最近3个月就发送了8起。

PC端病毒：劫持用户访问钓鱼网站

技术特征：劫持浏览器访问特定页面

       犯罪目标：PC端网购人群

替别人买了游戏道具

       2014年7月，王姓女士准备带小学4年级的儿子一起去青岛旅游，网购飞机票时却出现意外，下载了电影《背水一战》，之后她使用网银购买飞机票准备带4岁的儿子去泰国普吉岛春游。可奇怪的事情发生了，明明已经买了飞机票，却没有收到短信提示。王姓女士查询消费记录，发现自己在5173平台替别人买了一堆游戏道具，根本没有买飞机票。调查后发现，王姓女士的电脑中了网银病毒，一切都是网银病毒在作祟。

一秒替换官方网站

一秒除了能变格格，还能变什么？网银刺客、网银大盗、网银窃贼、网银隐身劫匪等网银病毒它们会回答你：一秒变钓鱼网站！当中毒的淘宝用户进入网银支付页面时，病毒会在一秒内使官方页面跳转到第三方支付平台（整个速度非常快用户仅凭肉眼无法察觉），并创建一笔与该平台的大额交易，大多数情况下是游戏点卡或者贵重物品——黑客通过倒卖这些物品再间接牟利。

网银病毒的主要特征

董师傅支招

    1. 不要乱下载软件，据调查，网银病毒最喜欢捆绑在软件中，用户一解压软件就激活病毒了。最好通过安全软件渠道下载软件，腾讯电脑管家、360安全卫士等都有这个功能，可以避开带毒的恶意软件。

       2.如果的确需要下载一些特殊软件，例如绿色软件、行业软件，下载后等安全软件给出鉴定结果后再打开。或者在安全软件提供的虚拟环境中运行，卡巴斯基、金山毒霸等安全软件都有这个功能。

    3.陌生人或者淘宝卖家发送的文件，要多一个心眼，打开之前先杀毒。

       4.部分色情网站以免费为噱头，传播网银病毒，少上此类网站就可以降低中毒的几率。

5.一旦中毒，要立即挂失银行卡并报警，且使用安全软件查杀病毒，一些网银病毒还需要配合使用进程管理工具XueTr才可能完全清除。

    声音

       @病毒免杀专家 万立夫：大多数网银病毒都经过特别免杀，安全软件不一定可以识别，这比较尴尬。因此，良好的电脑使用习惯才是避免网银病毒的最好策略。

移动端病毒：客户端以假乱真

技术特征：伪装成官方APP

       犯罪目标：移动端网购人群

内测版原来是内鬼

2014年8月，山东省青岛市李沧区的赵先生，手机QQ收到一条好友的消息：“手机淘宝有轻巧版了，只有84KB，来试试！”赵先生出于好奇就下载安装了该APP，没有多久就发现自己的支付宝在三天之内进行了47笔 “快捷支付”交易，11400元莫名其妙地消失了。

盗窃密码拦截验证短信

赵先生碰到的是“支付鬼手”手机病毒，此类病毒有如此特征：伪装成淘宝客户端或者其他银行的客户端诱骗用户下载，之后偷偷将用户输入的淘宝账号、密码以及支付密码通过短信暗中发送至黑客手机，此外病毒还会拦截并隐藏用户收到的验证短信在，并联网上传或直接转发至黑客手机。而黑客一旦收到这些信息，就会将用户支付宝财产洗劫。而此类病毒要是通过二维码、论坛等渠道进行传播，例如黑客会将病毒下载地址制作成二维码图片在网站及论坛传播，诱骗用户扫描下载。

移动端的网银病毒

董师傅支招

1.最好从正规渠道下载手机软件，不要从论坛等安全系数低的地方下载手机软件。如今，豌豆荚精灵等手机助手软件都自带了软件安全风险提示，可以一眼看出软件是不是有问题，且是什么问题。

2.一定要安装手机安全软件，手机安全软件可以及时发现最新的恶意软件，并能根据恶意代码、恶意行为预判未知的手机病毒，可以大大降低用户被黑客欺骗的可能性。

3.留意软件索要的手机权限，免费软件是不需要支付权限的，如果索要一定是恶意软件，里面一定有猫腻。

    声音

@360手机安全卫士：移动端网银病毒通常以两种形式出现：一种是窜改特定官方客户端程序并植入恶意插件的窜改类病毒；一种是纯粹假冒其他应用程序的假冒类病毒。统计显示，在所有移动端网银病毒中，窜改类病毒占比约为26%，假冒类病毒占比约为74%。其中淘宝及相关应用最多，占比约为25%。另外，2013年360安全中心收到网络支付陷阱受害案例22259例，人均损失1449元，支付安全环境不容乐观。

海淘钓鱼：吓傻你就得手了

技术特征：利用恐慌心理诈骗

       犯罪目标：海淘人群

来自邮局的诡异短信

       由于海淘物廉价美，网友“wapwa”一个月总要淘几次。2014年6月5日，他收到一条短信：“温馨提示:您有一份包裹已到达,由于地址不详,没有派送成功,请速与我局联系。客服电话：26722981”，打电话过去得知是中国邮政总局，说因为包裹过安检时有问题，可能涉及走私、贩毒违法行为，让他向公安局报案。电话挂了一分钟，就有检察院工作人员打来电话……

揭秘海淘诈骗真相

其实，这是2014年新冒出的诈骗陷阱。后面的剧情是，不法分子冒充检察院工作人员，称客户涉嫌犯罪，即将冻结所有存款，待案件调查清楚，确与客户无关再将存款退还，并要求客户将存款转至检察院安全账号。 由于骗子语气严厉，一些人被镇住了，从而稀里糊涂就上当了。据安全厂商统计，海淘诈骗陷阱已造成约1300万元损失！

董师傅支招

    1.海淘钓鱼陷阱跟普通电话钓鱼陷阱差不多，只不过多了一个走私、贩毒的噱头，一下子就唬人了。因此对来自公安局、检察院、法院的电话都要先想想，是不是真的更直接有关系。以前中央电视台专门有个节目提醒大家：在通常情况下，这些国家部门是不会给你直接打电话的，基本上都是陷阱。

    2.生活中，一些骗子通过技术手段假冒110电话骗人。着你告诉大家一个要诀：110电话只能打进，不能打出来，因此凡是开头是110的电话，绝对是骗人的。

    3.即便真的是公安局、检察院、法院的电话，这些机构也是绝对不会要求汇款的，就算涉及跟钱的事情也是要求去实地办。因此，凡是提出网络汇款的都是骗子，是假冒的公安局、检察院、法院工作人员。

    4.在9月，海淘钓鱼还出现一种最新的手法：同样是走私、贩毒的噱头，只不过不是骗钱，而是忽悠用户回拨国际长途，一次损失话费几十元，这种方式更加隐蔽，且成功率更高。如果包裹真有问题，为什么是发短信，而不是主动电话联系呢？这样想，是不是就可以发现端倪。

    声音

@资深安全专家 苗得雨：诈骗短信陷阱还有一个重要的分支，那就是2013年大火、2014年持续的假冒银行官方短信陷阱，例如不法分子通过伪基站技术群发假冒的工商银行95588短信，忽悠用户说网银要升级，诱导用户进入钓鱼网站骗取网银账号和密码。

如何对付此类诈骗短信呢？如果手机出现没有信号的情况，却又收到来自95588（或者其他用户的官方号码）的短信，就要高度警惕，极有可能诈骗短信。如果官方号码说要求升级密码，一律不信，绝对是诈骗短信。此外，保存网银网站地址，不通过第三方渠道登录网银页面。

微信钓鱼：盗公众账号作恶

技术特征：盗窃公众账号 发布钓鱼信息

       犯罪目标：微信用户

碰到兼职招聘

       2014年2月20日9点多，江苏镇江大学生小李收到关注的某餐饮店铺微信账公众账号发来的一条消息，称有网络兼职的招聘，每天回报在80元~300元，详询QQ号××××……由于最近恰巧有打工兼职的想法，小李便通过信息上的QQ号与对方取得了联系，然后按照对方要求进行模拟操作，通过网银购买对方指定的游戏卡，支付出882元，在对方还要求继续支付下去时，他才终于意识到被骗。事后，他才知道有人盗取了该微信公众账号。

黑客盯上微信公众账号

      随着微信用户越来越多，黑客的兴趣也越来越大，围绕微信的钓鱼攻击频繁出现，微信公众账号成为香饽饽。一般情况下，是黑客批量盗窃QQ账号时，过滤出跟微信公众账号关联的账号和密码，然后登录微信公众账号发布钓鱼信息，主要有网络兼职、超低价热门商品这两类。

董师傅支招

1.网络兼职宣称工作2~3小时，回报80元~300元，想想都不可能，一般的全职工作都没有怎么高的回报。另外，网络兼职吹嘘的网上水军、差评师等工作都不是公开招的，需要特殊渠道介绍才可以，所以看到网络兼职就自动屏蔽吧。

2.超低价商品特别有诱惑力，如果此类商品不是淘宝、天猫、京东等知名电商提供的，而是听都没有听说过的网站，就要提高警惕，先登录http://icp.alexa.cn/看看网站备案号ICP是不是真的，如果网站没有备案，或者盗用了其他网站的备案，就一定是假的；再看网站是否支持支付宝，不支持支付宝的，不碰；最后看收款账号是不是个人账号。如果是个人账号，100%有问题。

3.除了盗号，还有黑客利用微信漂流瓶发钓鱼网站链接。因此，微信中漂流瓶中发送网址，一律不要点击。另外要谨慎使用微信摇一摇功能，对通过摇一摇结交的朋友要多一个心眼，不要轻易点击他们发送的链接，很可能该链接指向钓鱼网站。

4.对微信公众账号或者好友发送的内容有疑问，最好先确定一下，有可能是被盗号了。特别是汇款这种事情，最好先电话沟通一下。

    声音

       @HNC安全联盟 李逸：去年春节的时候，微信推出了抢红包活动，一些黑客趁火打劫推出红包钓鱼陷阱，点击抢红包链接出现的一些莫名其妙的网页。预计明年春节还会出现这类陷阱，因此在抢红包时，一定要注意点击后是否有异常，更不要在其中输入任何个人信息。