李颕彰律师专栏

近日，全新折叠式旗舰手机开放预购后不久，本港警方网络安全及科技罪案调查科接获超过100宗相关报案。受害人表示信用卡在未经授权情况下被用作购买手机，涉款约460万港元，个别个案损失更高达22万元。部分事主从未进入相关网站，更没有进行任何购买行为，却突然收到银行发出的交易成功通知。亦有消费者原本只打算购买一部手机，却在短时间内接连收到多笔授权讯息。

无论最终相关交易是否成功取消，甚至是否已真正完成扣帐，事件本身已揭示一个值得社会关注的问题：在电子支付日益普及的今天，一道原本应该保护消费者的安全防线，显然未能有效发挥作用。

事件发生后，不少人第一时间将焦点放在黑客攻击、资料外泄或跨境诈骗集团身上。然而，这些其实并非最值得追问的问题。网络罪犯一直存在，信用卡资料外泄亦非首次出现。真正值得思考的是，当犯罪分子掌握信用卡号码、有效日期及安全验证码后，为何仍能在短时间内完成如此大规模的交易授权？答案很大程度上与额外的身份验证机制有关。

目前国际信用卡网络普遍采用俗称“3D Secure”的验证制度。当系统判断交易存在较高风险时，持卡人需要透过一次性密码、手机应用程式确认或生物认证等方式再次证明身份。即使犯罪分子取得信用卡资料，只要无法通过第二重验证，完成交易的难度便会大幅提高。问题在于，并非所有网上交易都会启动这类验证程序。

从商业角度来看，这种做法并不难理解。在竞争激烈的电子商务市场中，每增加一次验证、每多跳转一个页面，都可能令部分消费者放弃付款。尤其是热门产品预购、限量商品发售或抢购活动，每一秒都可能影响成交结果。因此，互联网企业近年积极追求所谓“无摩擦付款”（Frictionless Payment）体验，希望以最少步骤完成交易。缩减输入程序、减少身份验证及加快付款速度，都被视为提升转换率的重要手段。

问题是，当安全措施被视为影响销售效率的障碍时，安全与便利之间便容易出现失衡。更值得关注的是，这种失衡背后其实涉及风险与成本的错配。

企业透过简化支付程序提高成交率，获得实际商业收益。但一旦出现未授权交易，成本却往往由其他持份者承担。消费者需要更换信用卡及重新设定各类电子服务。银行需要投入大量资源处理争议交易及退款程序。警方及相关执法部门则需要额外调配人手展开调查。

即使所有交易最终都获撤销，这些时间成本、行政成本及公共资源成本仍然存在。当收益由市场参与者享有，而风险却由消费者、银行及社会共同承担时，市场本身未必能产生足够诱因推动安全标准持续提升。从这个角度看，今次事件已不只是单纯的信用卡骗案，而是一个涉及风险分配与制度设计的公共政策问题。

个别消费者当然亦有责任保护自己的资料。近年部分市民习惯透过社交平台寻求代购、代订或代抢热门产品服务，甚至向陌生人提供信用卡资料及安全验证码。这类行为无疑增加资料外泄风险。然而，即使公众数字素养持续提升，制度设计仍然是保护用户的第一道防线，因为再谨慎的消费者也无法完全防范所有技术风险与犯罪手法。

事实上，不少主要经济体近年已开始透过制度手段应对有关问题。欧盟在《支付服务指令第二版》 （Revised Payment Services Directive） 框架下推行“强化客户认证”（Strong Customer Authentication）制度，要求大部分电子支付交易采用多重身份验证。英国亦持续强化支付安全及消费者保障机制，透过监管措施提高金融机构对可疑交易的防范责任。

这些制度未必能彻底消除诈骗活动，但却有效提高犯罪成本。当犯罪分子取得信用卡资料后，仍须突破第二重甚至第三重验证，成功率自然下降。大规模犯案所需的人力及技术资源亦会显著增加。监管的真正价值，很多时候并非消灭所有犯罪，而是改变犯罪与守法之间的成本结构。

香港作为国际金融中心，拥有成熟的银行体系及完善的支付基础设施。近年香港金融管理局积极推动金融科技发展，本港银行业亦大力发展数字银行服务及电子支付生态。然而，随著数字交易规模持续扩大，监管框架亦有必要与时并进。

其中值得讨论的方向，是由香港金融管理局联同财经事务及库务局、香港银行公会及主要支付机构，研究参考欧洲经验，为高风险网上交易建立更清晰的额外身份验证要求。例如当交易金额达到某个水平、短时间内出现多笔交易，或系统侦测到异常购买模式时，必须启动额外身份认证程序。同时，香港亦可探讨引入更清晰的责任分配机制。若相关机构未采取合理验证措施而导致未授权交易发生，是否应承担更大的法律或财务责任，值得社会进一步讨论。

值得肯定的是，警方、银行业界及监管机构在事件曝光后迅速介入，协助取消可疑交易，并保障受害人权益。但真正衡量一套制度是否成熟的标准，从来不在于事后补救能力有多强，而在于事前预防能力有多高。每一次成功追回款项，都意味著骗案其实已经发生。每一次冻结交易，都代表有人已成为犯罪目标。每一次更换信用卡及重设帐户资料，都代表社会已经支付原本可以避免的成本。

因此，今次事件最值得思考的，不只是某一次手机预购活动出现混乱，而是香港是否已经准备好迎接数字经济发展的下一阶段。如果电子支付将成为未来经济活动的基础设施，那么支付安全便不应只被视为企业的营运问题，而应被视为公共信任的一部分。与其在每次事故发生后追查资料来源、冻结交易及安排退款，更值得讨论的问题是：香港是否需要建立一套更具一致性、更具强制力的高风险交易身份验证制度？这或许才是今次事件留给香港最重要的政策课题。

作者李颕彰是执业律师，暨南大学国际关系学院政治学博士候选人。

文章仅属作者意见，不代表香港01立场。

01专栏精选不同范畴专家，丰富公共舆论场域，鼓励更多维度思考。