扫码支付安全 课件.pptVIP

扫码支付安全全面解析

第一章扫码支付的技术原理与架构

扫码支付两大模式被扫模式商家生成收款二维码，用户使用支付App扫描商家二维码完成付款。这是最常见的线下支付场景，广泛应用于商超、餐饮、零售等行业。商家主导收款流程适合固定收款场景用户操作简单快捷主扫模式用户在支付App中生成付款二维码，商家使用扫码设备扫描用户二维码完成收款。这种模式在便利店、快餐店等快速交易场景中应用广泛。用户主导付款流程交易速度更快支持小额免密支付

扫码支付系统架构用户端手机支付App是用户与支付系统的交互界面，负责生成或扫描二维码，发起支付请求，并接收交易结果反馈。商家端收银系统与扫码设备构成商家端基础设施，负责生成收款码、扫描付款码、显示交易信息，并与支付平台进行数据交互。支付平台支付平台是整个系统的核心，负责交易处理、资金清算、风险控制、数据加密等关键功能，确保交易的安全性和准确性。银行/清算机构

扫码支付的安全保障技术SSL/TLS加密传输所有支付数据在传输过程中都经过SSL/TLS协议加密，防止数据在网络传输中被截获或篡改。这是保障支付安全的基础技术。多因素身份验证结合密码、指纹、面部识别、短信验证码等多种验证方式，确保支付操作由本人发起，有效防止账户被盗用。实时交易监控与风险控制支付平台采用先进的风控系统，实时监测交易行为，识别异常交易模式，及时拦截可疑交易，保护用户资金安全。

扫码支付流程示意图完整的扫码支付流程包含多个安全节点：用户身份验证、二维码生成与加密、网络传输加密、支付平台风控检测、银行账户验证、交易确认反馈等。每个环节都部署了相应的安全机制，共同保障交易安全。01用户发起支付请求02身份验证与授权03生成加密二维码04交易数据加密传输05风控系统实时检测

第二章扫码支付的安全隐患全景尽管扫码支付技术日趋成熟，但安全隐患依然存在。攻击者利用技术漏洞和用户疏忽，设计了多种攻击手段。了解这些安全威胁，是提高防范意识的关键。本章将全面梳理扫码支付面临的主要安全风险。

错扫二维码的风险攻击手法这是最常见也最容易得手的攻击方式。攻击者在商家正规收款二维码旁边或上方粘贴自己的恶意二维码，利用用户扫码时的疏忽大意，诱导用户扫描错误的二维码。危害后果用户一旦误扫恶意二维码，支付的资金将直接转入攻击者的账户，而非商家账户。等用户发现时，资金已经被转移,追回难度极大。典型场景共享单车、充电宝等自助设备餐饮店桌面收款码停车场缴费二维码街边小摊收款码

支付界面网络钓鱼攻击制作仿冒页面攻击者精心制作与正规支付平台高度相似的假冒支付页面，从视觉设计到交互流程都力求逼真，普通用户难以辨别真假。生成钓鱼二维码将假冒支付页面的链接生成二维码,通过各种渠道传播给潜在受害者，诱导用户扫描。诱骗输入信息用户扫码后进入假冒页面，在不知情的情况下输入支付密码、银行卡号、身份证号等敏感信息。窃取并利用攻击者获取用户输入的敏感信息后，可以直接盗刷银行卡，或将信息出售给其他犯罪分子。特别提醒：正规支付平台不会通过二维码要求用户重新输入完整的银行卡信息或身份证号。遇到此类要求应立即警惕。

假App木马病毒攻击伪装更新植入木马攻击者通过短信、邮件或网页弹窗,冒充支付App官方发送系统升级、安全更新等通知,诱导用户下载并安装含有木马病毒的假App。窃取支付信息与银行卡数据木马病毒一旦安装成功,就会在后台悄悄运行,监控用户的操作行为,窃取支付密码、银行卡信息、身份证号等敏感数据,并回传给攻击者。资金被盗风险攻击者获取完整的支付信息后,可以直接操控受害者的支付账户,进行转账、消费等操作,造成重大经济损失。

二维码被完全篡改攻击原理攻击者使用恶意程序或物理手段,直接覆盖或替换商家的正规收款二维码,将其完全替换为攻击者自己的收款码。这种攻击手段更加隐蔽,用户很难察觉。实施方式物理替换：直接撕掉原二维码,贴上假二维码数字篡改：入侵商家收银系统,修改显示的二维码中间人攻击：在网络传输中拦截并替换二维码数据防范难点由于二维码外观完全正常,商家和用户都不易发现异常。只有在对账时才会发现资金未到账,但此时攻击者往往已经转移资金。

二维码界面劫持攻击1隐藏恶意二维码攻击者利用系统漏洞或恶意软件,在用户正常的支付界面上叠加一个透明或半透明的恶意二维码层,用户看到的似乎是正常界面,实际扫描的却是恶意码。2伪装支付界面当用户打开付款码时,恶意程序会监测并快速替换显示的二维码,或者在原二维码上覆盖一层假的付款码,诱导商家扫描错误的二维码。3完成资金转移商家扫描被劫持的二维码后,资金实际转入攻击者账户而非商家账户。由于整个过程发生在瞬间,用户和商家都难以察觉异常。4事后发现被骗交易完成后,商家发现未收到款项,用户却已完成支付,双方产生纠纷。而攻击者已经将资金转移,追回困难。

被篡改二维码示意上图展示了正常二维码与被