二维码支付风波

huozhe

经济观察报 记者 陈秀月 一纸文件让宿凯最近的心情如过山车般跌宕起伏。

宿凯是一位二维码支付创业者，从去年6月份拿到微信支付的接口后，花了半年多时间研发出基于二维码支付的POS机。好不容易盼来了收获期——2月底，微信涉足线下POS机业务的消息不胫而走，一场与之相关的发布会预计在3月底举行，宿凯的产品也将正式面向市场。

但一切戛然而止，因为阿里巴巴和腾讯双双宣称发布虚拟信用卡惊动了央行。

3月13日，央行下发紧急文件《中国人民银行支付结算司关于暂停支付宝公司线下条码（二维码）支付等业务意见的函》，叫停支付宝、腾讯的虚拟信用卡产品，同时被叫停的还有条码（二维码）支付等面对面支付服务。因政策变动而受到影响的，不仅是像宿凯一样的围绕二维码支付创业的人，还有为第三方支付提供收款设备的上市公司，如新大陆（000997.SZ）和证通电子（002197.SZ）。政策发布的第二天，新大陆遭遇5家机构席位甩卖，公司股价大跌10％。

本土便利店巨头美宜佳之前在17个城市5500家门店推广支付宝钱包条码支付的热情也被浇了盆冷水。支付宝人士在文件下发的两三天后便建议美宜佳推迟一切推广促销活动。不过，一位不愿意透露姓名的美宜佳内部人士告诉经济观察报，目前所有门店的条码支付未因为政策而中止使用。

处于事件核心的支付宝和微信支付也因此在线下支付市场和O2O市场的争夺中，暂时偃旗息鼓。

疾驶中的二维码支付，突然装上了前所未有的政策刹车闸。押宝在二维码支付这条产业链上的公司，此刻都屏息以待，安全性的考量是他们眼下共同面对的最大关卡。

排查安全漏洞

央行“开闸放行”的时间点虽仍未正式到来，但事情已有转机。央行在19日召集相关人士进行了座谈，密集讨论了互联网金融监管问题。与此同时，央行再次明确表态支持和鼓励互联网金融的创新和发展。就二维码支付业务，央行定调：相关企业做好了风险识别和排查机制，并向央行报备，央行会再“开闸放行”。

央行此前的发文称，条码（二维码）应用于支付领域有关技术、终端的安全标准不明确，相关支付撮合验证方式的安全性尚存质疑，存在一定得支付风险隐患。

支付宝和负责微信支付业务的财付通人士均向经济观察报出示了一些防范的举措。支付宝有关人士告诉经济观察报记者，支付宝发出的交易用的条码和二维码都经过独立加密，本身不包含账户和交易信息。该人士称，由支付宝生成的二维码对应的信息只有一半，经扫码枪等扫描设备后，必须传递到支付宝服务器上，与另一半信息匹配上，才能建立支付。商家的系统无法脱离支付宝的服务器而自行二维码的解析。

一位不愿具名的业内人士与支付宝持类似观点。他认为，使用条码支付时，商家识读条码后跑的后续验证和支付流程，一定是在支付运营方的系统中运行，而这套系统会设计一定的私密性，并且对登录商家有许可登录机制，以保证留痕和可控。

支付运营方的风险嫌疑被一点点排除。而从生成二维码一端到识度二维码的另一端，后端的风险被认为较小。新大陆有关人士称，帐户信息无论加不加密，被识读后是否存在被泄露的风险，与该帐户信息以何种方式被读取无关。

安全漏洞的焦点转移到随处可见的二维码。那些来历不明的二维码被业内人士认为是造成二维码支付存在风险的主要环节。金山安全反病毒专家李铁军告诉经济观察报，目前消费者对二维码的安全问题存在误解，混淆了二维码支付和扫二维码的概念。他认为，安全的隐患主要在于，消费者扫描了被植入病毒的二维码，用户关键资料可能外泄，而不是支付过程。由此造成不法分子窃取了身份证号码等信息，并用于盗取消费者财产的非法行径。

今年“3·15”晚会曝光的二维码一事中，便是用户扫描恶意二维码后，手机感染病毒。用户身份证号码、验证码等所有信息将被“网银神偷”轻松获取，窃取银行卡账户余额。李铁军认为，上述事例发生在互联网中。目前，生成二维码的软件随处可得，造成互联网上的二维码随处可见，安全隐患也倍增。他称，如果二维码支付在线下推广开来，且对生成二维码的源头端没有进行管控，上述的病毒事件也有可能发生在以手机为载体的移动互联网。

据经济观察报了解，目前已有公司针对微信支付专门生产将交易金额等信息生成二维码的类POS机设备。广州云移公司已开发出一款具有上述功能、名为“扫付”的设备。记者从云移公司了解到，消费者挑选商品后，商家按结算价格在此设备上输入金额，“扫付”会通过微信生成二维码。去年6月，云移公司拿到了微信支付的接口，开始了该设备的研发。消费者用手机扫了上述生成的二维码，即能跳转到微信支付的页面，输入支付密码，支付过程便完成。

李铁军担心，一旦生成二维码的设备大量运用于线下商户的交易中，且没有像POS机那样由银联统一向商户发放，缺乏规范标准将导致安全漏洞更大范围地延伸到线下的移动支付当中。

一位从事二维码识读设备生产的人士告诉记者，生成二维码是通过生成软件，该生成软件由码制方公开发布，目前基本上都可免费使用。这意味着，二维码生成设备的生产门槛较低。

上述已冒出苗头但尚未普及到的“由商家生成，客户扫码”的支付方式不同于目前市面上已经在试点推行的方式。目前支付宝大力推行的是“由客户生成、商家扫码”的支付方式。客户在手机上下载支付运营方（比如支付宝）提供的APP，在支付时，客户向商家出示显示在手机上的代表支付帐户的条码，商家用扫码设备扫码后，商家输入支付金额，客户进行确认、密码验证等后完成支付。

但是，目前不排除一些企业和个人在商户布设二维码。面对外部的二维码，支付宝称仅向消费者提供识别对应信息的功能，且禁用下载文件的功能，以防被安装木马。

在新兴的“由商家生成，客户扫码”的支付方式中，李铁军认为，若生成二维码的设备由支付宝和微信统一发放给商户，安全性更高。另一位支付界人士认为，如果二维码的生成、扫码到解析，由单一支付机构布置，形成了闭环后，则风险可控。

主读模式与被读模式之争

在支付宝和财付通等处于支付环节的企业，在为安全问题焦头烂额之时，有些企业尽管受到了牵连，回头一看反而获得了更大的发展空间。

虽然遭受了股价的大起大落，但新大陆方面认为，二维码支付被暂停对其他行业、领域和客户的条码应用在无形中起到了正面的引导、促进和认识的作用，这对条码产业的发展是极具意义和推进作用的事件。

目前的二维码支付场景分为被读式和主读式两种。被读式，即是在用户手机端形成二维码后，由商家使用扫码枪扫描。支付宝和微信支付普遍使用被读式的支付场景。而有商家或外部生成二维码，再由用户以手机扫码的主读式，被认为风险系数更高。新大陆有关人士在回答投资者质疑时表示，“大家都理解手机被读模式相比于主读模式在安全性上更好一些，未来继续推进时手机被读模式应该更容易成为制定模式时被重视的方法”。

在被读式的支付场景中，新大陆将迎来新的增长点。华创证券分析师段迎晟在研报中指出，相比手机扫码速度慢，识别差错高，二维码POS　机硬扫码更适合商业支付,支付宝和微信支付的竞争将使新大陆受益。

新大陆是目前国际上仅有的六家拥有二维码核心技术的制造商之一，并在2010　年研发出全球唯一的二维码解码芯片。比起生产银联POS　机时与多家供应商竞争的白热化程度，段迎晟认为，新大陆从解码芯片到识读引擎，再到扫描枪的一体化产品的竞争力遥遥领先。

记者从新大陆了解，该公司不仅有条码业务线，同时也有POS业务线。新大陆目前已推出带二维码识读功能的POS机具并已经产生订单。海通证券分析师陈美风认为，受益于互联网巨头对线下支付的部署，二维码识读设备的销售将被带动。

主读式支付场景的参与者事实上也并未被安全隐患而被一剑封喉。广州云移公司CEO宿凯前几天拿着公司生产的支持二维码支付的设备前往支付结算司进行报备。宿凯告诉经济观察报，利用已拿到的微信支付接口，商户利用这款设备能够将交易金额转化成二维码，供消费者扫码支付。

央行的暂行指令对这款新产品的招商造成了一定的负面影响，但是宿凯发现，市场的热度、资本的热度反而更加强烈。“我们觉得更多的是积极的影响。”他说。

广州云移公司内部人士向记者透露，腾讯已对该设备产生浓厚的兴趣，并对该公司表达出强烈的战略投资意向。此外，拉卡拉也对公司有投资的意向。该人士称，现在还处于初步接触的阶段。

正如许多业内人士所言，二维码支付被暂停，无形中对条码应用起到了正面引导和认识的作用。走在创新和风险的平衡木上，二维码支付已经撕开了市场的一道口子。而市场的竞争机制将逐步消除安全隐患，让创新形态百花齐放。“这股潮流是挡也挡不了。”宿凯说。