Win Driver Blog

兩款手機APP只要靠近感應式信用卡，就能讀取信用卡個資。這件事情最近在香港引起恐慌，民眾群起土法煉鋼，用錫箔紙包住信用卡。香港記者實測，任何人都可以下載這兩款APP，而且確實5秒之內就可以讀取信用卡個資。

當無現金交易的世界正成為多國政府與各家銀行追求的目標，隨身包包裡的信用卡個資外洩風險也在急遽升高。

最近香港民眾正陷入長考：到底要將皮包裡的感應式信用卡棄置不用，還是土法煉鋼般拿錫箔紙包裹信用卡，以防止重要個資外洩；甚至有人建議銀行乾脆取消感應式付款的功能。

香港人的這股恐慌，起因於上個月中旬，香港部分銀行向持卡人發出提醒，部分手機App靠近感應式信用卡，會讀取持卡人姓名、卡號、有效日，甚至是交易紀錄等資料。

香港資訊科技商會榮譽會長方保僑向大眾示警，這類Apps若被不法分子使用，可將盜取的信用卡資料，在一些資安保障較低的網站購物，然後轉售套現。

包括HKTVmall、日本樂天、Amazon及美心西餅等網站，只要有持卡人姓名、卡號及有效日期，就能購物，不需要輸入驗證碼。而會讀取信用卡個資的兩款手機App，是「Banking Card Reader」、「Cardtest」。目前這兩款App僅在Android手機商店提供下載，任何人都能下載使用。香港記者實測發現，打開這兩款App，不到五秒，就能輕易讀取信用卡內的個資。

並不是所有信用卡都在這波資料外洩疑雲名單之中，主要是內建NFC（近距離無線通訊）功能的感應式信用卡，如MasterCard的PayPass、VISA的PayWave等。

經香港金管局調查，一共有七家發卡銀行的信用卡未符合金管局的安全要求，包括持卡人姓名與交易紀錄可被非法讀取。金管局已下令涉事銀行回收信用卡。

七家銀行包括中銀香港、交銀香港、中信銀行（國際）、工銀亞洲、永隆銀行、星展（香港）及大新銀行，其中有五家為香港中資銀行。

VISA國際發卡組織台灣區總經理麻少華指出，此次爭端主要是持卡人姓名外洩。他說，香港政府在2012年規定，感應式信用卡線圈不可放入持卡人姓名，避免遭有心人士讀取、盜用。他說，VISA一年前已強制規定銀行不可以放入姓名，目前市面上流通含有姓名的是較早發行的舊卡。

業界人士則透露，一般銀行製卡要遵守國際發卡組織的規定，但製卡廠未必完全埋單或有疏失。

諷刺的是，讓香港人心惶惶的讀卡App，卻一副置身事外的姿態。讀卡App「Cardtest」在開發說明中這麼寫著：「我出於好奇設計了這款demo app，為的是了解內建NFC的信用卡會提供多大程度的資料給一個隨機的讀卡App。結果顯示，感應式信用卡被讀取的資料就跟你看到的信用卡正面一樣多。」另一款「Banking Card Reader」則強調自己不能用於支付。

這起風波暫時還不會落幕。中銀直到這個中旬，才要為所有受影響的信用卡戶更換不具備感應式功能的信用卡；明年1月，才能提供新版感應式信用卡。香港網站已出現不少教民眾自保的手段，例如拿錫箔紙包覆信用卡片。

數位金融革命，意外讓錫箔紙業因禍得福。