iPhone18預購信用卡盜用︱吳傑莊：疑為加快交易速度停用3DS驗證 商戶應負上全責

蘋果最新iPhone 18 Pro及iPhone 18 Pro Max上周六（12日）晚上8時開放預購，警方接獲超過700人報案，指懷疑其信用卡被盜用於網上購買智能電話，涉案金額約1470萬港元。立法會議員吳傑莊認為，事件揭露商戶疑為加快交易速度而暫停「3D Secure」額外認證，認為商戶應負上全責，市民亦要警剔慎防釣魚網站，小心防範免招損失。

未出貨資金仍在銀行料損失不大

吳傑莊今早（14日）在電台節目表示，由於現時涉事手機尚未出貨，資金仍在銀行尚未完全過數，預期今次事件未必會造成很大損失。各大發卡銀行已表示會就事件展開調查，並強調若客戶已合理和謹慎使用信用卡，將會協助完成退款程序。

他分析，是次大規模信用卡異常交易主要分為兩種情況，黑客可能早前已盜取大量信用卡資料，趁新款智能手機推出的機會，進行大規模「刷單」以圖獲利；及買家遇上系統「卡頓」時沒有反應而多次點擊，導致同時間產生多張訂單，主要屬供應商的系統處理問題。

針對大批未經授權的交易能夠成功落單，吳傑莊解釋，這與商戶可能暫停了3D Secure (3DS) 額外認證系統有關。正常情況下，網上交易在輸入信用卡號碼及CVC/CVV安全碼後，系統會要求輸入一次性密碼（OTP）或透過手機銀行應用程式作確認。吳傑莊指，這個額外認證過程會令每宗交易增加30至40秒，網絡慢時甚至長達1分鐘。

他相信，供應商為免大批訂單導致排隊及網絡資源擠塞，在「安全與做生意速度」之間作出了「平衡」。商戶或透過動態風險評估，對部分或全部交易暫停了3DS要求，從而衍生出第三方在無認證下也能成功落單的漏洞。

衍生詐騙交易商戶應負上全責

至於最終責任歸屬問題，吳傑莊認為，正如金管局日前所指，若個別商戶基於營運考慮而不使用或暫停額外認證安排，商戶需要承擔非授權交易的責任及財務損失。所以最終責任在於商戶（收單商），若因此衍生詐騙交易，必須由他們負上全責。

對於防範類似的網絡安全風險，吳傑莊提醒市民，應密切留意交易短訊，收到銀行發出的交易短訊切勿置之不理。如發現非本人授權的決定，應立即聯絡銀行報備或停用該信用卡。以及要慎防釣魚網站，切勿自行到不知名網站輸入信用卡資料查核，以免誤墮釣魚陷阱。企業方面須加強數據保護，做好網絡安全，防止資料被黑客輕易盜取並在網絡流傳。