张宇锋：信用卡的消费密码、签名与Apple Pay
关注过我的读者们应该知道，笔者是一个通信业从业者，所写的文章一般都是在为运营商“洗地”。然而今天笔者打算以一个常年混迹于信用卡社区的持卡人的身份，给大家一点信用卡安全用卡的建议。之所以想写这篇文章，是因为最近刚刚发生一起信用卡盗刷案件，在观察者网对此案的报道下，笔者以评论的方式给大家提供了一条“不要给信用卡设置密码”的建议，这条评论被踩了好多次。笔者打算从这点开始给大家简单谈一下怎样安全用卡。
我国大部分信用卡持卡人都有个习惯，就是将卡片的消费模式设置为“凭密消费”，所谓凭密消费是指在消费时银行或卡组织通过密码来确认消费是不是由持卡人发起（即消费的合法性）。而国际主流的消费模式则是“凭签名消费”，即在消费时由商户通过核对POS签购单上的签名与卡片背面签名条上的签名是否一致来确认消费的合法性。
以中信银行为例，该行的《信用卡(个人卡)领用合约》内明确规定：“凡使用密码进行的交易，均视为乙方（持卡人）及其附属卡持卡人本人所为。……凡未使用密码的交易，乙方（持卡人）及其附属卡持卡人签名的交易凭证为交易的有效凭证。”
而中国银行也有类似的规定：“凡使用密码进行的交易均视为甲方（持卡人）本人所为；未使用密码进行的签单交易及所有境外交易，以记载有甲方（持卡人）签名的交易凭证为该项交易的有效凭据。”
此外，大多数银行发行的卡片背面都有类似“未经签名无效 Not valid unless signed”的字样。由此可见，对于凭密消费，大部分银行都会直接将其视为持卡人发起的合法交易。一旦发生盗刷，除非能证实自己不可能在交易发生的现场，否则设置了凭密消费的持卡人很难推卸自己对这笔交易的责任，而设置了凭签名消费的持卡人只需要证明签购单上不是自己签的名就可以了。
（比较有意思的是，所有国内银行的客服人员都会告诉你设置为凭密消费更加安全，而他们的领用合约则会把密码泄露造成的盗刷的责任都推在持卡人身上……）
信用卡一般有两个密码：一个叫做“查询密码/电话服务密码”，用来在网上银行或者电话银行办理业务验证身份用；另一个是“消费密码”，就是在POS或者ATM上输入的密码。有很多持卡人在领用信用卡时只设置了查询密码，而没有设置消费密码。这些持卡人的卡片实际上处于凭签名消费模式，但其本人并不知晓，还以为自己的卡片处于凭密消费模式。
笔者建议持卡人在不确定自己的卡片是否设置了消费密码的情况下一定要与银行确认，以免造成不必要的困扰。使用消费密码在POS机上消费实际上是中国银行业首创的，随着中国银联走向国际化，带有密码键盘的POS机才慢慢跟着中国人走向世界各地。
提到中国银联我们就得聊一聊卡组织与信用卡安全用卡的关系了。拿出你的卡片，你的卡片上除了银行的Logo之外还会有一个卡组织的Logo，国内比较常见的卡组织包括我国的中国银联和欧美的MasterCard（万事达）、Visa、AmericanExpress（美国运通）、Dinner（大莱）以及日本的JCB。卡组织作为一个第三方清算网络，为银行拓展银行卡业务和消费者消费提供了更为便利的环境。卡组织出于各种目的，一般都会搞一些独立的标准。例如美国运通、万事达和Visa就联合设立了一个名为EMV的IC银行卡标准。该标准的诞生推动了银行卡由磁条向芯片的更新换代，并可以有效降低了传统磁条卡被复制的风险，提升了用卡安全性和便利性。为了迅速推广EMV标准卡片，三家卡组织几年前发布了一条规定，规定磁条卡发生盗刷后由持卡人承担一切责任。所以，经常出国的土豪们，赶快看看你的钱包，你出国用的万事达卡、运通卡和Visa卡是不是芯片卡，如果不是赶快找银行去换。
由中国银行发行符合EMV标准的Visa单标芯片卡，注意，由于没有银联标识，此卡无法在大陆境内使用，只能用于境外
而不出国的同学就不要申领符合EMV标准的芯片信用卡了，因为我国规定境内银行发行的境外卡组织单标卡不得在境内使用，而国内银行发行的EMV卡都是境外卡组织单标卡。如果你想避免磁条卡被非法复制而造成盗刷，我们有自主标准供你选择——《中国金融集成电路（IC）卡规范》，业界将其称为“PBOC”，最新版本为3.0。来，让我们再次打开钱包检查一下你的信用卡：你的信用卡卡号是62开头的吗？你的信用卡正面有没有芯片？如果两个问题的回答都是肯定的，那么恭喜你，你的这张卡片至少以目前的技术手段是无法被复制的。要知道，有近四成的信用卡盗刷案件都是由于卡片被复制造成的。
由中信银行发行的银联标准卡，符合PBOC规范
我国发行的信用卡里有一种怪胎，叫做“双标卡”，意思就是卡片上既有银联标识，又有境外卡组织标识的信用卡。这种卡片的诞生是因为我国银行卡清算网络起步较晚，早期为了借用境外卡组织在国内的网络而诞生的。而由于银联同境外卡组织芯片卡的标准不同，这类卡片无法更换为芯片卡，也无法适应越来越危险的用卡环境，因此笔者建议此类卡片的持卡人应尽快将双标卡更换为单标卡。不出国的同学建议更换为银联单标卡，有出境需求或境外网站购物需求的土豪们建议更换为境外卡组织单标卡。
由邮储银行发行的双标卡，注意卡片正面的银联标识和万事达标识
说到境外网站购物，笔者还要提示大家一下一定要注意卡面信息安全。在国内网站上进行信用卡在线交易时，无论是银联支付、支付宝或者是别的什么支付网关，都会根据中国银联的要求通过手机验证码和身份证号来验证消费是否由持卡人本人发起，但在国外信用卡可不是这么用的。以宅男最爱的Steam为例（啥？你问为啥不以Origin为例？因为Origin不接受中国大陆发行的信用卡！），在Steam使用非银联银行卡消费时，只需要输入卡号、持卡人姓名拼音、卡片有效期、卡片背面签名条后三位数字和账单地址就可以成功扣款，没有其它验证措施。因此，笔者建议各位读者一定不要向其他人展示你的信用卡，尤其是你家那个喜欢玩游戏的熊孩子……此外，不要在Wi-fi环境下在线使用信用卡，尤其是公共Wi-fi。
好的，我们来重新回顾一下前文给出的用卡安全建议：
1. 交易模式设置为“凭签名消费”；
2. 如果使用“凭密消费”，先与银行确认是否设置了消费密码；
3. 将磁条卡更换为芯片卡；
4. 尽量不要使用“双标卡”；
5. 不要向其他人展示信用卡；
6. 不要在Wi-fi网络中使用在线支付。
做到以上几点，基本就可以防范大多数用卡安全隐患。此外笔者还建议信用卡持卡人购买银行卡盗刷险或类似的保险产品，某保险公司卖的盗刷险一年才不到三块钱。三块钱买个安心，不算亏吧？（不过这个保险公司拿到我个人资料之后就开始跟我推销寿险跟车险，烦死了……）
说完了传统的信用卡，咱们再来谈谈最近很火的Apple Pay。一个月之前Apple Pay正式进入大陆地区市场，此服务适用于iPhone6系列四款产品和配备了iWatch的旧款iPhone（iPad不可以在POS机上刷卡消费，本文不做讨论）。在绑定了银行卡之后，Apple Pay用户就可以把自己的手机当成银联闪付卡一样在支持闪付的POS机上挥卡（挥手机？）消费。目前来看还没有发生因使用Apple Pay造成的盗刷事件，但笔者打算在这跟您提个醒：
1. 在Apple Pay中绑定银行卡实际上是由银行重新发卡，重新发放的这张虚拟卡与您的原卡卡号并不相同，所以不用担心银行卡信息被苹果公司或者其“合作伙伴”获得您的实体卡片信息进而获得您的某些隐私。但是由于“绑定一次就换一次卡号”的特性，会导致退款时的一些麻烦，所以笔者在此强烈建议Apple Pay用户在确认最近的消费不会发生退款前不要解绑您的卡片；
2. 老生常谈，想保证您手机的安全，就不要越狱，不越狱只有苹果公司及其“合作伙伴”可以调取您的信息，越狱后可就不好说了；
3. 国内信用卡在绑定Apple Pay之后也不能出国使用非银联通道POS机，建议有出国需求的土豪们绑定境外信用卡以满足境外用卡需求；
4. 手机维修、更换前一定要解绑银行卡，如果无法操作以及手机丢失的情况下可以在iCloud上解绑。
实际上，我国的三大运营商几年前就推出了基于NFC即近场通信的银联闪付服务，在2014年笔者就开始使用某地联通提供的SWP-SIM卡配合某款支持NFC的手机完成刷卡消费功能了，这种SIM卡还可以用来乘坐当地的地铁。而中国电信4G用户只要手机支持NFC就可以申领类似的SIM卡绑定银行卡或是公交卡。由于信息处理模块是SIM卡，不能被手机厂商解读，安全性和隐私保护不知比苹果高到哪里去了……（除非你质疑我们通信业从业者的人品，就像我怀疑苹果那样。）
不过运营商提供的可绑定信用卡的SIM卡在使用时也是有一定风险的，这个风险在Apple Pay上也存在。实际上这算不上是一个风险，只能说是一个霸王条款：国内所有基于闪付的交易无论是否使用密码、无论签名是否与本人笔迹一致，皆视为持卡人本人发起的合法交易。因为银行业认为闪付卡是不会被复制的，不存在盗刷的风险。这个霸王条款如何规避笔者暂时还没有发现，欢迎读者们在评论区讨论！