iPhone18预购信用卡盗用︱吴杰庄：疑为加快交易速度停用3DS验证 商户应负上全责

苹果最新iPhone 18 Pro及iPhone 18 Pro Max上周六（12日）晚上8时开放预购，警方接获超过700人报案，指怀疑其信用卡被盗用于网上购买智能电话，涉案金额约1470万港元。立法会议员吴杰庄认为，事件揭露商户疑为加快交易速度而暂停「3D Secure」额外认证，认为商户应负上全责，市民亦要警剔慎防钓鱼网站，小心防范免招损失。

未出货资金仍在银行料损失不大

吴杰庄今早（14日）在电台节目表示，由于现时涉事手机尚未出货，资金仍在银行尚未完全过数，预期今次事件未必会造成很大损失。各大发卡银行已表示会就事件展开调查，并强调若客户已合理和谨慎使用信用卡，将会协助完成退款程序。

他分析，是次大规模信用卡异常交易主要分为两种情况，黑客可能早前已盗取大量信用卡资料，趁新款智能手机推出的机会，进行大规模「刷单」以图获利；及买家遇上系统「卡顿」时没有反应而多次点击，导致同时间产生多张订单，主要属供应商的系统处理问题。

针对大批未经授权的交易能够成功落单，吴杰庄解释，这与商户可能暂停了3D Secure (3DS) 额外认证系统有关。正常情况下，网上交易在输入信用卡号码及CVC/CVV安全码后，系统会要求输入一次性密码（OTP）或透过手机银行应用程式作确认。吴杰庄指，这个额外认证过程会令每宗交易增加30至40秒，网络慢时甚至长达1分钟。

他相信，供应商为免大批订单导致排队及网络资源挤塞，在「安全与做生意速度」之间作出了「平衡」。商户或透过动态风险评估，对部分或全部交易暂停了3DS要求，从而衍生出第三方在无认证下也能成功落单的漏洞。

衍生诈骗交易商户应负上全责

至于最终责任归属问题，吴杰庄认为，正如金管局日前所指，若个别商户基于营运考虑而不使用或暂停额外认证安排，商户需要承担非授权交易的责任及财务损失。所以最终责任在于商户（收单商），若因此衍生诈骗交易，必须由他们负上全责。

对于防范类似的网络安全风险，吴杰庄提醒市民，应密切留意交易短讯，收到银行发出的交易短讯切勿置之不理。如发现非本人授权的决定，应立即联络银行报备或停用该信用卡。以及要慎防钓鱼网站，切勿自行到不知名网站输入信用卡资料查核，以免误堕钓鱼陷阱。企业方面须加强数据保护，做好网络安全，防止资料被黑客轻易盗取并在网络流传。