李頴彰律師專欄

近日，全新摺疊式旗艦手機開放預購後不久，本港警方網絡安全及科技罪案調查科接獲超過100宗相關報案。受害人表示信用卡在未經授權情況下被用作購買手機，涉款約460萬港元，個別個案損失更高達22萬元。部分事主從未進入相關網站，更沒有進行任何購買行為，卻突然收到銀行發出的交易成功通知。亦有消費者原本只打算購買一部手機，卻在短時間內接連收到多筆授權訊息。

無論最終相關交易是否成功取消，甚至是否已真正完成扣帳，事件本身已揭示一個值得社會關注的問題：在電子支付日益普及的今天，一道原本應該保護消費者的安全防線，顯然未能有效發揮作用。

事件發生後，不少人第一時間將焦點放在黑客攻擊、資料外洩或跨境詐騙集團身上。然而，這些其實並非最值得追問的問題。網絡罪犯一直存在，信用卡資料外洩亦非首次出現。真正值得思考的是，當犯罪分子掌握信用卡號碼、有效日期及安全驗證碼後，為何仍能在短時間內完成如此大規模的交易授權？答案很大程度上與額外的身份驗證機制有關。

目前國際信用卡網絡普遍採用俗稱「3D Secure」的驗證制度。當系統判斷交易存在較高風險時，持卡人需要透過一次性密碼、手機應用程式確認或生物認證等方式再次證明身份。即使犯罪分子取得信用卡資料，只要無法通過第二重驗證，完成交易的難度便會大幅提高。問題在於，並非所有網上交易都會啟動這類驗證程序。

從商業角度來看，這種做法並不難理解。在競爭激烈的電子商務市場中，每增加一次驗證、每多跳轉一個頁面，都可能令部分消費者放棄付款。尤其是熱門產品預購、限量商品發售或搶購活動，每一秒都可能影響成交結果。因此，互聯網企業近年積極追求所謂「無摩擦付款」（Frictionless Payment）體驗，希望以最少步驟完成交易。縮減輸入程序、減少身份驗證及加快付款速度，都被視為提升轉換率的重要手段。

問題是，當安全措施被視為影響銷售效率的障礙時，安全與便利之間便容易出現失衡。更值得關注的是，這種失衡背後其實涉及風險與成本的錯配。

企業透過簡化支付程序提高成交率，獲得實際商業收益。但一旦出現未授權交易，成本卻往往由其他持份者承擔。消費者需要更換信用卡及重新設定各類電子服務。銀行需要投入大量資源處理爭議交易及退款程序。警方及相關執法部門則需要額外調配人手展開調查。

即使所有交易最終都獲撤銷，這些時間成本、行政成本及公共資源成本仍然存在。當收益由市場參與者享有，而風險卻由消費者、銀行及社會共同承擔時，市場本身未必能產生足夠誘因推動安全標準持續提升。從這個角度看，今次事件已不只是單純的信用卡騙案，而是一個涉及風險分配與制度設計的公共政策問題。

個別消費者當然亦有責任保護自己的資料。近年部分市民習慣透過社交平台尋求代購、代訂或代搶熱門產品服務，甚至向陌生人提供信用卡資料及安全驗證碼。這類行為無疑增加資料外洩風險。然而，即使公眾數字素養持續提升，制度設計仍然是保護用戶的第一道防線，因為再謹慎的消費者也無法完全防範所有技術風險與犯罪手法。

事實上，不少主要經濟體近年已開始透過制度手段應對有關問題。歐盟在《支付服務指令第二版》 （Revised Payment Services Directive） 框架下推行「強化客戶認證」（Strong Customer Authentication）制度，要求大部分電子支付交易採用多重身份驗證。英國亦持續強化支付安全及消費者保障機制，透過監管措施提高金融機構對可疑交易的防範責任。

這些制度未必能徹底消除詐騙活動，但卻有效提高犯罪成本。當犯罪分子取得信用卡資料後，仍須突破第二重甚至第三重驗證，成功率自然下降。大規模犯案所需的人力及技術資源亦會顯著增加。監管的真正價值，很多時候並非消滅所有犯罪，而是改變犯罪與守法之間的成本結構。

香港作為國際金融中心，擁有成熟的銀行體系及完善的支付基礎設施。近年香港金融管理局積極推動金融科技發展，本港銀行業亦大力發展數字銀行服務及電子支付生態。然而，隨著數字交易規模持續擴大，監管框架亦有必要與時並進。

其中值得討論的方向，是由香港金融管理局聯同財經事務及庫務局、香港銀行公會及主要支付機構，研究參考歐洲經驗，為高風險網上交易建立更清晰的額外身份驗證要求。例如當交易金額達到某個水平、短時間內出現多筆交易，或系統偵測到異常購買模式時，必須啟動額外身份認證程序。同時，香港亦可探討引入更清晰的責任分配機制。若相關機構未採取合理驗證措施而導致未授權交易發生，是否應承擔更大的法律或財務責任，值得社會進一步討論。

值得肯定的是，警方、銀行業界及監管機構在事件曝光後迅速介入，協助取消可疑交易，並保障受害人權益。但真正衡量一套制度是否成熟的標準，從來不在於事後補救能力有多強，而在於事前預防能力有多高。每一次成功追回款項，都意味著騙案其實已經發生。每一次凍結交易，都代表有人已成為犯罪目標。每一次更換信用卡及重設帳戶資料，都代表社會已經支付原本可以避免的成本。

因此，今次事件最值得思考的，不只是某一次手機預購活動出現混亂，而是香港是否已經準備好迎接數字經濟發展的下一階段。如果電子支付將成為未來經濟活動的基礎設施，那麼支付安全便不應只被視為企業的營運問題，而應被視為公共信任的一部分。與其在每次事故發生後追查資料來源、凍結交易及安排退款，更值得討論的問題是：香港是否需要建立一套更具一致性、更具強制力的高風險交易身份驗證制度？這或許才是今次事件留給香港最重要的政策課題。

作者李頴彰是執業律師，暨南大學國際關係學院政治學博士候選人。

文章僅屬作者意見，不代表香港01立場。

01專欄精選不同範疇專家，豐富公共輿論場域，鼓勵更多維度思考。