人脸识别|“刷脸”惹祸，交通银行用户40万存款被盗( 二 ) 网络安全

而不法分子实现了盗刷资金的第一步后，又利用人脸识别调高了转账限额。 2021年交通银行的转账规则显示——通过人脸识别，可以将单笔5万的限额调整至单笔限额20万，将每日5万的转账限额，调整至每日限额50万。

（通过“人脸识别” ，可以调高转账限额。来源：用户提供）
调整限额后，就可以再次利用人脸识别加上拦截到的短信验证码进行转账。
楚枫提供的转账流水显示，不法分子共进行了五次大额转账，加上登录软件重置密码和调高限额的操作，共涉及6次人脸识别的过程，活检结果均显示通过。

（不法分子利用“假人脸”盗刷银行卡， 6次通过活检。来源：用户提供）
至于不法分子究竟是什么来头——警方调取的内容显示，不法分子的IP地址为中国台湾，使用的手机是一款海外手机，型号为摩托罗拉XT1686 。
充满戏剧性的是，楚枫本人在办卡当天并未离开北京。而远在台湾的不法分子，却6次通过活体人脸识别，盗刷了他本人的40多万存款。
楚枫表示，他的情况并非个案。在过去的2021年，仅他知道的就还有5位用户，同样通过交通银行人脸识别被盗刷，时间集中在2020年10月-2021年10月。
截至目前，距离楚枫的存款被盗刷已过去了整整一年，但法院一审判决的结果却给了他当头一棒，判决结果是交通银行“未存在明显过错” ，将楚枫的诉求全部驳回。

（法院判决交通银行“无明显的错误或过失” 。来源：用户提供）
02 人脸识别市场的“AB”面人脸识别的流程，包括图像采集、预处理、人脸特征点提取、人脸检测和人脸匹配等。
与传统的输入密码以及其它认证方式相比，人脸识别技术的应用在某些领域可以提高效率，优化流程，具有采集快捷等优势。
近年来，受益于国内深度学习算法的发展和数据的累积，人脸识别应用如雨后春笋般涌现。人脸解锁、人脸支付、上班打卡······人脸识别在这些场景的应用，已经得到了社会的广泛关注。
深度科技研究院院长张孝荣告诉市界：“目前国内人脸识别的市场规模大约50-70亿元，从业者以智能安防企业，互联网巨头和AI领军企业为主，金融、交通和娱乐领域也在广泛应用。 ”
虽然人脸识别在多个领域广为涉猎，但由于金融领域涉及到用户的支付安全问题，目前的人脸识别精度尚无法完全满足相关需求。加之用户还没有完全养成人脸识别的习惯，冰鉴科技研究院王诗强认为，应用于金融领域的人脸识别尚处于成长阶段。

伴随着人脸识别领域不断发展和扩张，质疑人脸识别滥用的声音也越来越多。最直接的佐证是，人脸识别在一些领域已经开始退场——央视315晚会曾曝光过行业内搜集人脸信息的乱象，最终多地零售门店、售楼处被迫拆除了人脸识别的摄像头。
而在移动端，一些涉及刷脸支付、视频采集等需要用到人脸信息的软件，却在隐私政策中对如何收集、使用、存储、处理人脸信息避而不谈，甚至还会在未告知用户的情况下直接采集人脸图像数据。
谈及人脸识别所比对的信息来源，张孝荣表示：“信息来源一般比较复杂。除了用户按要求自行上传外，还包括证件信息采集设备收集，公安部门数据库接口，有关部门视频头监控数据，第三方数据库，网络公开信息资料等等。 ”
对此，令牌云的创始人陈建伟认为：“人脸识别在采集相关信息的过程中，涉及隐私的风险巨大。主要是不清楚采集方是否缓存或泄露了用户的人脸照片，哪怕仅仅是人脸特征值。 ”
但值得一提的是，在日渐复杂的应用场景下，相关监管也如期而至。 2021年7月，最高人民法院出台《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》；2021年11月，《个人信息保护法》正式生效。
在人脸识别领域，虽然建立的法律法规主要从个人信息保护法的角度出发，但也传递出了监管层想要在商业服务场景中规范人脸识别行为的信号。
03 到底是谁的错？在与楚枫的交谈过程中，有一句话让人印象深刻。 “如果不是交通银行的人脸识别系统存在风险，为何不法分子要煞费苦心引导我把存款从其它银行卡转入交通银行卡中。 ”

针对交通银行方面“在用户大额转账的过程中，已打电话求证转账人和收款人的名字等信息，尽到了提醒义务”的说辞，分析师李好好表示：“在用户手机电话和短信都被拦截的前提下，银行核实方式的力度有些“弱” 。况且用户刚刚在北京办好银行卡，不法分子就可以在台湾立刻盗刷。即便是社交平台，出现异地登录的情况也会有异地风险提示。 ”