央行多次发文重申商户资质审核不得外包;盗刷案件风险源头出在聚合支付机构对商户资质审核不严。
4月21日至5月4日之间，四名消费者手持微信二维码在超市等待付款，在排队的几分钟里，被人从背后通过手机扫码，盗刷500元到900元不等的资金，扣款方都是名为“一站式24小时便利店”的账户，根本不是超市收款。
近日，重庆江北公安分局破获上述在超市收银处专门盗刷微信资金案件。重庆警方告诉新京报记者，重庆发生的消费者使用二维码支付时资金被盗案件，作案者就是利用了聚合支付APP“钱方好近”，在顾客背后通过APP扫描付款码后，输入收款金额，实现盗刷资金。
当下，无论是在大型超市还是街边小店，人们都可以不用现金，通过手机支付来实现购物、消费。简单来说，单一的收款方式已经很难满足顾客的需求了，商家准备不齐全就有可能丢了一笔生意。因此，融合了微信、支付宝等多种支付渠道的聚合支付成为商家更好的选择。
新京报记者调查发现，通过聚合支付相关APP，有些手机也可以变成扫码枪，所以就出现了有人拿着手机偷偷扫码从而实现盗刷的事件。据调查，原本由第三方支付机构负责商户的审核，在实际操作中这部分审核权也有可能违规外包给聚合支付机构。但是，一些可全程在线上进行审核的聚合支付，则给了部分“商户”弄虚作假的空间。
那么，谁来保证商户的真实性?
钱方好近可全程线上审核收钱吧号称“10分钟办理”
重庆警方对新京报记者表示，不久前重庆发生的消费者使用二维码支付时资金被盗案件，作案者就是利用了聚合支付APP“钱方好近”，通过APP扫描顾客的付款码后，输入收款金额，即实现盗刷资金。
一般来说，扫码需要通过扫码枪等硬件设备进行，消费者展示微信或支付宝付款码，商家通过硬件设备来完成扫码收款。根据钱方好近官网介绍，其为商户提供好近快盒、扫码枪等硬件设备。除此之外，钱方好近APP上还有扫码入口，通过这一功能可以将手机变成扫码枪，直接用手机扫码也可以实现收款。
在上述案件中，一个关键性的步骤是，作案者伪装成商家，在钱方好近平台上通过了审核，从而以商家身份进行收款。重庆警方告诉新京报记者，该案嫌疑人在他人店铺中，趁店主不注意拿着身份证拍了照片，假装自己是店主，然后用这些照片在软件上进行注册。
那么，钱方好近对于商户资质的审核步骤到底是怎样的?记者以需要申请小白盒收款设备的名义咨询钱方好近客服，客服表示，商户申请注册过程需要钱方好近的业务员到店办理。在钱方好近客服的描述中，大部分审核工作均由业务员来完成。
但是，随后联系记者的钱方好近业务员告诉记者，身份证、银行卡等证件信息，可以直接在线上发送照片给他。至于店铺门头照和店内环境照，该业务员表示，“如果你这边能提供我也可以不过去。”收到相关照片后，他即可发放“小白盒”。
上述业务员还表示，钱方好近APP也可以实现手机收款功能，与在APP上注册商户需要审核的信息类似，“需要来店里拍照片，你这边能提供给我也可以的”。
另一个聚合支付类产品“收钱吧”同样可以实现全程线上审核。除获得专用收款设备外，“收钱吧”员工告诉新京报记者，“手机APP也可以扫客人”。这意味着，使用“收钱吧”的商户只要下载其APP，也可以将手机变为扫码枪。“收钱吧”官网中的“收钱吧APP”介绍图显示，该APP首页确有一个收款入口，配文称“APP直扫收款或搭配收款工具收款”。记者尝试在APP上操作时发现，必须要先通过商户审核才可进首页。
6月2日，记者在“收钱吧”官网填写了商户开通申请并咨询客服人员后，一位员工提出加记者微信沟通。该员工告诉记者，开通需要五份材料：申请人身份证正、反面照片，申请人与店铺门头合照一张，店铺内景照一张，申请人在店里手持身份证拍一张照，以及收款银行卡的正面照片。
“照片通过微信发给我，立刻就能办理，当天设备就能从上海寄出来。”上述员工表示。记者注意到，他在自己的一条朋友圈中称，“10分钟办理，半小时可用，支持花呗、信用卡、微信、支付宝等多种支付方式。”
央行严禁商户资质审核外包仍有服务商称可完成审核
为什么钱方好近与收钱吧的客户能迅速通过审核，这一步骤到底由谁来执行?重庆二维码被盗刷案件背后，风险到底源于何处?
从记者调查过程来看，风险源头出在聚合支付机构对商户资质审核不严方面。然而，实际上，商户资质审核本就不属于聚合支付机构的工作，应是其背后的持牌支付机构的工作。
据了解，所谓审核，即聚合支付机构实时将商户资料传到收单机构后台，合规人员在后台即时审核。如果审核权力下放到聚合方(外包机构)，属于违规。而此前公开报道显示，市场也存在这种情况。
记者随机调查了一些聚合支付机构的审核情况，其中“码大大”客服明确表示，审核工作由他们公司来做。
一家第三方支付机构人士告诉记者，聚合支付不属于支付机构，没有牌照，商户资质审核也不在聚合支付，如果在，就涉嫌核心业务外包。“应该看聚合支付的支付通道是哪家。”另一家机构人士也明确，聚合支付是服务商，只有持牌机构才有审核资质。
目前，聚合支付机构并不需要获得支付牌照，央行曾在相关文件中将聚合支付服务商定位为“收单外包机构”。也就是说，聚合支付服务商适用于对外包服务机构的管理办法。《中国人民银行关于加强银行卡收单业务外包管理的通知》中明确提出，收单机构不得将特约商户资质审核交由外包服务机构办理。此后央行发布的多个文件都反复重申商户资质审核不得外包的原则。
央行在2017年1月下发的《关于开展违规“聚合支付”服务清理整治工作的通知》(下称《通知》)指出，在相关业务开展过程中，部分聚合技术服务商以大商户模式接入收单机构，违规开立支付账户，或实质性从事特约商户资质审核、受理协议签订、资金结算、收单业务交易处理等业务。
苏宁金融研究院研究员黄大智对记者表示，从合规角度讲，聚合支付是收单机构的外包商，央行明确过三点，除了聚合支付作为收单机构的外包商，不负责商户的证件审核外，聚合支付也不能碰资金结算，涉及二清和无证经营支付业务，同时不能碰核心交易数据，正常来讲只有银行和支付机构才能碰。
