输错密码也能刷 加信用卡重大漏洞密码形同虚设
仅仅四位、有时是六位数字的密码，本应是守护信用卡安全的电子防盗锁。可如果这把锁随便一把钥匙都能打开，后果会怎样？
3月末，Mark Sach‑Anderson的TD Business Travel Visa信用卡接连出现四笔快餐类欺诈消费，信用卡公司为他补发了新卡。这位汽车维修店老板设置完新密码后却发现一件惊悚的事：就算输入错误密码，交易依然能够完成。
“不可能只有我遇到这种情况。”Sach‑Anderson说道。
输错密码为何交易仍能通过
问题在6月一次偶然消费中彻底暴露。当时他购买一件价值3200加元的维修工具，连续三次输错密码，交易却依旧审核通过。几周后在一家酒店、还有一家排气管维修店，同样的怪事再次上演。
Sach‑Anderson向本地银行网点反馈该问题，并把密码重置为六位数字。为测试重置是否生效，8月1日他走进附近的Shoppers Drug Mart。随意输入四组错误数字，机器提示密码无效，但三次失败之后，机器直接打印小票，要求签名，交易就此完成，他直接刷卡离场。
他立刻赶回网点上报这个密码被绕过的漏洞。
柜员说道：“这绝对不该发生。”，并建议他致电TD Visa。
接下来他便陷入来回推诿。一名客服称问题或许是“芯片故障”，承诺24小时内寄出新卡。几天过去卡片迟迟未到，担心旧卡仍处于激活状态，他再次致电。这次客服告知，新卡甚至还没有生成，同时称主管正在处理这起潜在的“安全漏洞”事件。
Sach‑Anderson回忆自己当时的疑惑：“什么安全漏洞？我一直以为只是芯片出问题。”
上周末，Sach‑Anderson在自己位于Etobicoke的汽修店Wrenchspinner Auto Service and Sales的收银终端上再次测试这张卡，给自己刷1加元，随便输入虚假密码1234。
机器提示：密码无效。第二次输入1234：密码无效，最后一次机会。第三次继续输入1234。卡片没有锁定、交易也没有被拒绝，终端直接清零界面，打印出已授权小票，要求签名。《Toronto Star》摄影记者Richard Lautens拍下了整段测试视频。
作为小企业主，他需要用这张信用卡支付店铺租金等各类经常性开支，这一安全隐患令他万分焦虑。更让他担忧的是，绝大多数用户根本不会专门测试卡片安全性，很多人或许正面临同样问题却浑然不知。
“我希望这张卡只有输入我设置的密码才能使用，而不是随便什么密码都可以。”Sach‑Anderson表示，“我相信有问题的绝不只有我这一张卡。”
银行内置的安全兜底机制
网络欺诈风险顾问Claudiu Popa解释，加拿大银行从磁条卡升级到芯片密码卡时，行业非常担心交易失败，也怕流程复杂打击用户消费意愿，因此在系统内设置了一套“兜底机制”，可以依靠签名完成交易。
但反复出现同类情况并不正常。
“单次异常或许属于偶然故障。但在多台终端上，即便重置密码之后，多次输错密码依旧可以完成交易，这种现象值得深度调查。”Informatica Corporation首席执行官、《The Bad Security》博客作者Popa说道。
“我们尚不清楚这属于程序缺陷还是配置错误，但TD必须评估这类异常问题的波及范围到底有多广。”
Visa Canada证实，卡片安全配置不由卡组织设定，而是由发卡银行负责。
Visa Canada在发给《Star》的邮件中表示：“持卡人账户及相关业务，由发卡机构承担责任。Visa不创建、维护持卡人账户，也无法访问账户数据。每家金融机构对于Visa品牌银行卡，都拥有独立规则，包含签名与密码的使用规范。”
也就是说，这套技术逻辑，以及新卡能够绕过密码防护这件事，责任完全落在TD Bank身上。
TD在邮件中回复，三次密码错误后允许签名完成交易，属于标准流程。
TD发言人Ashleigh Murphy写道：“芯片‑签名模式是加拿大行业通用做法，当芯片‑密码验证失败时，可作为替代核验方式。出现该情况，不代表卡片已经被盗用。”
Popa认为TD回避了核心安全问题：连续多次密码错误，本应当拒绝交易，为何反而能够支付成功。
“TD说设备没有故障或许没错。但如果这就是产品原本的设计，那就要拷问，这套设计是否达到消费者设置密码时期待的安全水平。”
TD表示Sach‑Anderson的卡片“并未判定为被盗用”，但Murphy称已经制作新卡并快递寄往他的公司。
Sach‑Anderson至今还没有收到卡片，但在TD Visa发言人回复媒体邮件的数小时后，他接到银行来电，告知新卡将于本周初送达。
负责监管借记卡、信用卡业务的联邦机构Financial Consumer Agency of Canada (FCAC) 在邮件中向《Star》表示，无论使用何种技术与支付方式，法律要求银行必须调查每一笔用户上报的非授权交易。
用户可向银行业监察专员申诉
联邦规定，除非银行能够证实用户存在重大过失，信用卡持卡人对于盗刷的赔付上限为50加元；Visa这类主流卡组织还实行用户零赔付政策。FCAC表示不便评论针对TD的具体监管行动，但强调，安全机制失效时，银行不能简单将责任推给消费者，必须全面核查各项技术原因。
如果用户不满银行的处理结果，可以向Ombudsman for Banking Services and Investments提交申诉，该机构同样受FCAC监管。
Popa提醒，务必留存盗刷相关收据等全部凭证，方便调查取证；也可以直接写邮件联系企业副总裁，加快处理进度。
加拿大各大银行至今没有明确：输错密码究竟会锁定卡片，还是会直接跳转签名兜底模式。Sach‑Anderson的遭遇给所有拿到补发新卡的人敲响警钟：务必仔细核对账单，你所依赖的电子安全锁，很可能根本起不到防护作用。
https://www.thestar.com/business/this-etobicoke-business-owner-typed-the-wrong-pin-three-times-video-shows-td-visa-still-okd-the-purchase/article_608cfb16-24fa-4b42-88a9-8bd8ae4a82e8.html
