第三方支付监管的XXE漏洞（XML External Entity）必要性：存监管漏洞变“洗钱池”

　　第三方支付变脸诈骗“洗钱池”

　　“拦截的洗钱池资金只是一部分，绝大多数资金进了‘池’就很难追查。第方的必”深圳市反电信网络诈骗中心负责人王征途说。支付XXE漏洞（XML External Entity）

　　《经济参考报》记者近期在北京、监管监管广东、性存浙江、漏洞河南等地调研发现，洗钱池因使用便捷、第方的必作案隐蔽等特点，支付一些第三方支付平台就像一个庞大的监管监管“资金池”，已成为电信诈骗团伙套取、性存漂白非法资金的漏洞“绿色通道”，其监管上存在的洗钱池漏洞给警方及时冻结被骗资金和侦破案件造成障碍。

　　部分平台成诈骗温床

　　北京市公安局统计，第方的必2015年以来，支付当地成立的XXE漏洞（XML External Entity）打击防范电信犯罪领导小组，累计已经帮助受害人挽回十几亿元的损失。公安机关调查发现，七成被骗资金是通过第三方支付平台。

　　2017年7月9日，浙江联鑫公司出纳林亮泉赶至海宁市公安局报案：嫌疑人打电话称其涉嫌一起非法传销案，并传真一份通缉令，要求其配合清查银行账户，在其公司电脑种植木马远程操控划账，先后诈骗联鑫公司人民币2760万元。

　　“此案中绝大多数被骗资金都是通过第三方支付平台转移、取现。”浙江省公安厅刑侦总队打击侵财犯罪侦查支队支队长刁松林说，近期浙江警方在侦的多起电信诈骗案件中，诈骗团伙均是利用第三方支付平台实施资金转移。

　　2017年前三季度，深圳市反电信网络诈骗中心已帮助5671名受害事主冻结嫌疑账号9872个，拦截被骗资金3.15亿元。

　　然而，拦截的资金不过是一部分。王征途告诉《经济参考报》记者，以前诈骗分子是以银行卡对银行卡的方式转款，就像左手换到右手一样，追查起来相对容易。但现在，诈骗分子先通过银行卡转到第三方支付平台，再从此平台分转至多张银行卡取现。一些第三方支付平台就像一个庞大的“资金池”，已成为电信诈骗团伙套取、漂白非法资金的“绿色通道”。

　　第三方支付平台是指非银行的第三方机构在消费者、商家和银行之间建立连接，提供网上支付结算和资金转移服务的互联网机构。据统计，仅2016年，通过第三方支付平台交易的资金就超过20万亿元。目前，拥有中国人民银行发放牌照的第三方支付平台多达200多家，此外还有大量非正规的机构从事此类业务。

　　有钱没钱都能中招

　　2017年上半年，程序员小宋接到一个电话后，支付宝里一分钱都没有的他，竟被骗走了28万元。在此过程中，诈骗分子仅通过三个步骤，就将他支付宝“蚂蚁借呗”功能中“可借的钱”骗走了。

　　深圳警方总结了当前诈骗团伙的五种套路：一是冒充公检法工作人员诈骗;二是以“猜猜我是谁”“我是你领导”名义诈骗;三是通过邮寄方式发送中奖等虚假信息诈骗;四是伪基站诈骗，通过建立伪基站，伪造银行、保险公司等机构，向事主发送短信链接，以银行卡积分兑换现金等名义，要求其输入银行卡卡号、密码转走银行卡的钱;五是网络购物诈骗，骗子在一些大型购物网站或使用插件在各大网站中发布货物信息，诱骗事主汇款或以次充好或以假货进行诈骗。

　　王征途指出，诈骗团伙利用第三方支付平台转移赃款和洗钱的手段主要有三种：一是通过一些第三方支付平台发行的商户POS机虚构交易套现;二是将诈骗得手的资金转移到第三方支付平台账户，在线购买游戏点卡、比特币、手机充值卡等物品，再转卖套现;三是利用第三方支付平台转账功能，将赃款在银行账户和第三方支付平台之间多次切换，使得公安机关无法及时查询资金流向，逃避打击。

　　刁松林表示，无论采取何种方式，犯罪分子作案所需的银行卡数量都将大大减少，不仅可以节省购买银行卡的犯罪成本，而且可以利用第三方支付平台查询、反馈周期长的现实问题，迟滞公安机关的侦查步伐，降低犯罪风险，导致第三方支付平台成为犯罪分子的得力工具。

　　《经济参考报》记者调查发现，随着银行不断强化对个人账户实名制的管控，申请非实名银行卡的可能性几乎为零，一人申请多张银行卡也受到一定程度的限制，而第三方支付平台的账户申请多数不需要实名认证，仅通过邮箱就可以轻松开通，而且一人可申请多个账号，这些便利性和隐蔽性吸引电信网络诈骗分子将其作为资金转移的工具。

　　“我要是干这行，没人能查到”

　　“我要是干这行，绝对没人能查到。”一些公安机关办案人员的话道出了第三方支付平台的漏洞和追查难度。

　　多地警方表示，在调查涉及第三方支付平台的诈骗案时主要面临几个问题。一是查询手续繁琐，各地配合协调能力不足。当前，警方没有调取证据的统一手续格式，都是当地网警部门或者各第三方支付平台公司自己规定查询手续。以支付宝、财付通为例，均需要刑侦部门先向本级网警部门发起查询请求，再由网警转发到第三方支付平台属地网警部门，然后转发到第三方支付平台公司，查询结果反馈后再层层流转到刑侦部门。

　　二是查询要求苛刻。由于每个第三方支付平台的后台建设问题，前往查询需要提供银行卡号和订单号等，无法直接通过转入银行卡卡号进行查询，影响查询效率。

　　三是反馈周期长，严重阻碍侦查破案效率。第三方支付平台公司一般查询均需要三日以上，而就新型犯罪转账的时间都是以秒、分来计算，几万元的资金10分钟之内、几百万元最多一个小时就转完了。这种效率难以适应打击和追赃的实际工作。

　　四是注册信息不实，交易管理混乱，刷卡交易记录和流水查询困难。警方在侦查办案中发现，大量第三方支付平台的账号可以在网络上直接买卖，第三方支付账号往往冒用身份信息就可以申请办理，在注册账户时未做到实名制，相关注册信息、手机号码、身份证号码、营业执照等信息没有做到核查义务，导致侦查中资金流中断、线索灭失。（记者 周科 方问禹 李丽静 毛伟豪 北京 广州报道）

原标题：第三方支付监管存漏洞 变脸成诈骗“洗钱池” 责任编辑：朱惠娥