什么是EMV 3-D Secure？

EMV 3DS是由EMVCo统一发布的针对CNP电子商务交易的持卡人身份验证协议标准，帮助预防未授权的CNP交易，避免电商商户受到盗卡和欺诈损害。

最新3DS 2.2与以往版本的区别？

目前EMV 3DS最新版本为2.2，相比于2.1，3DS 2.2拥有其所有的功能，并在此基础上进一步优化了消费者的购物体验，支持更多的支付方式与更多的豁免环境。这些都将有效提升支付成功率，并降低消费者放弃订单的可能性。

3DS 2.2版本允许支付服务商或商家应用交易风险分析系统（TRA：Transaction Risk Analysis），向发卡行请求低风险豁免。

TRA豁免其实在3DS 2.1中就有应用，它允许商户或支付服务商在欺诈率低于特定阈值的情况下直接让交易避开SCA校验，但部分发卡行的3DS 2.1版本并不支持该项功能，而3DS 2.2版本则要求发卡行必须支持TRA豁免。需要注意的是，不同的交易金额在申请TRA豁免时所需的阈值也有所不同。

3DS 2.2支持商户发起付款（3RI：3DS Requestor Initiated），这意味着消费者不再需要参加每一个交易步骤。

3RI功能是3DS 2.2与2.1版本的主要区别之一，该功能允许商户在一次交易的身份认证中获得额外的密钥，该密钥可以被商户用来请求一系列有关这笔交易的授权。例如，在消费者进行付费电视频道的订阅，或是购买旅行社的打包产品（包含机票、酒店、及其他涉及多个商家的产品）时。3RI将允许商户仅做一次身份认证就可以使用该授权完成后续的交易，而消费者则无需参与其中。

3DS 2.2版本支持委托认证（Delegated Authentication）功能，该功能允许第三方机构代替发卡行进行身份验证。

委托认证允许商户、支付服务商或是收单行在某些情况下代表发卡行对消费者进行认证，并在数据流的传输中向发卡行告知该笔交易已通过身份验证。这么做的好处显而易见，发卡行可以根据第三方机构的身份认证信息，来免除这笔交易可能会触发的3DS身份认证步骤，从而进一步优化支付流程，降低弃单率。

3DS 2.2版本支持解耦认证（Decoupled Authentication）功能，该功能可以将支付与认证两个步骤分开，适用于消费者无法立即完成身份认证的情况。

解耦认证的出现成功将绑定在一起的支付与认证两个步骤拆分开来，该功能也可应用于上文中提到的3RI，但最重要的是它允许消费者在身份认证时拥有更多选择。例如，消费者在PC浏览器上购买一件商品，但却可以在移动手机上完成SCA认证。除此之外，商家还可以自定义解耦认证的持续时间，以保证消费者有充足的时间来完成身份验证。

信用卡国际组织为规范全球银行部署3DS 2.2进阶验证机制,扩充已运行将近4年的3DS 2.1标准。目前Visa、MasterCard、JCB、AE、DISCOVER与银联国际(UnionPay International)也全面支持EMV 3DS 2.2。

前言

外卡收单（Acquiring）, 是指收单机构向境内商户提供的与银行卡有关的本外币资金结算服务，通过国际卡组织收单会员及国际卡组织向境外消费者银行卡所对应的发卡银行发送支付请求获取授权并最终完成资金清结算的过程。产生需求的场景主要是包括：

• 境外持卡人在中国大陆境内刷卡消费，包括餐饮、机酒旅、购物、娱乐、留学等。
• 跨境出口电子商务业务中，境外买家以海外发行的信用卡或其他支付工具进行交易支付。

中付技术外卡收单系统

作为国内领先的外卡收单及风险管理技术服务公司，中付技术为合作伙伴提供提供一站式外卡收单业务解决方案，包括：

交易网关

卡组织文件处理

交易清分服务

商户管理系统

争议管理系统

代理商系统

第三方风控介入

PCI合规支持

其他定制化开发

凭借外卡收单系统的强大能力，可以满足不同类型客户的多样化需求。

五大特色：

支持五大卡组及银行或第三方：Visa /MasterCard/ American Express / DCI / JCB。

集成支付网关：支持EMV 3DS2及3DS、支付令牌、 统一支付接口。

数据安全：符合并通过PCI DSS认证、公安部等级安全保护认证、ISO9001认证 、ISO27001认证。

多种部署方式：SaaS服务模式 、客户本地部署模式等。

集成风控管理：多指标风控引擎、 黑/白名单 、第三方风控快速接入。

三大优势

多数据中心

中付外卡收单系统在全球拥有多个数据中心，分别位于中国深圳、中国香港、新加坡和韩国首尔。数据中心全部配置RAID5数据备份并互相灾备，确保为客户提供高稳定性和数据安全的服务。

• 系统性能优良

分布在全球多个国家和地区的数据中心，凭借优良的网络和服务器性能确保业务高效、稳定、可靠。基于强大数据中心配置的中付外卡收单系统性能优良，拥有毫秒级的网关连接速度，可在数秒内完成全球任意位置交易处理。

• 稳定运维

中付外卡收单系统整体可用性（ SLA ）达到99.99% 系统年宕机时间不超过50分钟。

关于中付技术（Sinopay）

中付（深圳）技术服务有限公司创立于2013年，是一家跨境支付服务、风控及合规解决方案的服务提供商。公司注册资本7000万元，目前在北京、香港、苏州等设有分公司及办事处。

目前为中国支付清算协会理事单位、Visa&MasterCard官方授权服务商、TPP及合作伙伴、 Austreme中国客户服务中心，团队主要成员工作经验涵盖监管政策、信息安全、欺诈防控、风险管理、风控建模、数据挖掘及智能分析等多领域复合型人才近60人。

“数聚中国2021—甲骨文CIO高峰论坛” 上海站将在2021年11月18日举行。中付技术（Sino Compliance）作为Oracle ISV合作伙伴受邀参加此次大会并将出席论坛演讲，与多位企业高管、CIO、行业精英一道，共同探讨数据时代下企业的可持续发展之路，并围绕“流程智能-云生态新一代数据应用”的主题进行深度交流。

论坛背景

本次论坛是基于国家和企业关注的“可持续发展”这一核心问题。在当前企业的发展中，早已离不开数据库+云技术这一发展的源动力。各大企业需要加速数字化进程以顺应这一趋势，所以选择合适的数据库和能快速迁移部署且稳定价优的全球化云服务、构建敏捷的数据中台，成为企业面临的挑战和机遇。

论坛内容

此次论坛主要围绕“数据是企业发展的源动力”以及“如何打造合适的数据中台，促进生产力的发展”做出相关演讲，行业内伙伴也会分享相关的云服务方案。作为企业数字化转型的技术合作伙伴，中付技术一直致力于为企业客户提供以技术为驱动的智能解决方案，将技术创新融合跨境服务，致力于打造一流国际化跨境技术服务品牌。中付技术将根据多年来在跨境支付行业积累的丰富经验，帮助各位伙伴实现更加安全的一站式跨境支付解决方案。

关于Sino Compliance

中付技术（Sino Compliance）是一家2013年在中国深圳成立的互联网金融公司，为金融科技公司提供针对数字商务的跨境支付解决方案。中付技术与全球企业合作，利用实时数据优化付款流程，其全球统一的支付处理平台提供了国内采购的相关支付方式，具有过滤欺诈信息和向客户报告等功能。相对于其他同类型企业而言，中付技术的主要特点是提供从支付网关到收单、欺诈检测等一站式集成服务。目前，中付技术公司业务覆盖10多个国家、150多种货币，支持借记卡、信用卡（Visa、万事达、Discover等），致力于为跨境电商保驾护航。

10月20日，经中国支付清算协会批准，中付（深圳）技术服务有限公司（以下简称中付技术，）正式加入中国支付清算协会反欺诈工作委员会。

反欺诈工作委员会成员告知函

中国支付清算协会反欺诈工作委员会成立于2017年4月27日。反欺诈工作委员会的宗旨是通过组织会员单位和社会力量，构建支付行业行之有效的反欺诈体系，完善反欺诈工作自律规则，规范反欺诈相关制度标准，形成更加有效的工作机制和市场合力，有的放矢地制定支付行业反欺诈规则，有效维护金融业持续健康发展，切实保护广大消费者的合法权益。为进一步推进我国反欺诈工作的深度和广度，2019年，反欺诈工作委员会新成立三个专项小组，在政策理论研究、标准制定和平台建设等方面多线程并进。

中付技术将在协会牵头组织下，积极参与反洗钱、反欺诈领域政策研究并建言献策，参与制订相关政策与行业解决方案。作为国内唯一一家专业从事跨境合规及交易反欺诈的大数据技术公司，中付技术目前正积极服务于我国跨境电商行业，通过大数据技术为跨境支付监管机构提供跨境支付风险观察窗口与决策数据支撑。利用中付国际卡收卡网关，跨境交易风控系统，汇率管理以及风险大数据等技术服务，为跨境支付行业提供交易合规解决方案。

作为中国支付清算协会反欺诈工作委员会成员单位，中付技术将凭借自身多年来在跨境合规及反欺诈领域的经验和技术，以及对于国内外反欺诈工作的研究经验及实操基础，积极配合反欺诈委员会的工作，为委员会提供跨境支付领域反洗钱、反欺诈及风险合规建议，帮助委员会及行业伙伴及时识别、预防可疑交易以及欺诈风险，并为伙伴提供事前，事中以及事后的欺诈解决方案，提供更安全的交易体验。

未来，随着强监管时代的到来与市场的进一步规范，中付（深圳）技术服务有限公司（Sinopay (Shenzhen)Technical Services Limited）（Sinocompliance.com）将始终秉持合规经营理念，积极拥抱监管，同时以技术服务为基础，进一步提升服务能力，围绕各行业场景，不断进行技术升级与产品优化，深度赋能跨境经营及反欺诈监管，携手合作伙伴共建共赢生态体系，推动支付产业健康持续发展。

当前，新冠疫情在全球范围内进入到一个新的阶段，疫苗的出现帮助一些国家和地区恢复了正常生活。2021年上半年，随着疫苗接种率的上升，现场活动和重新开业的商店、餐馆以及办公场所的数量也有所增加。在这一新阶段，给各行各业都带来了不同程度变化。NuData安全公司基于全球交易数据进行分析，洞察到全球交易和欺诈的新趋势。

欺诈背景分析

现今的消费市场越来越呈现混合增长的状态，主要的特征包括：

• 更复杂的攻击：通过模仿人类行为来逃避标准机器人检测工具的攻击正变得越来越普遍。
• 对于被盗凭据更多的测试：“循环信用卡^*”欺诈比例增加了54%。
• 更高的凭据信息准确率：2021年下半年攻击中使用的凭据中近10%都是准确的，明显高于2020年的1.9%。  

（更多背景分析，请点击https://www.wjx.cn/vj/mynKcx6.aspx）

各行业的全球流量变化趋势

• 零售与电子商务：与 2020 年下半年相比，NuData 监测的电子商务新用户开户请求量下降了15%。
• 金融机构：贷款的解冻和重新开放推动了金融流量的增长，在线转账数量与2020年下半年相比增加23%。
• 活动票务： 从2021年1月到7月，可信赖用户的总体流量迅速增长，比2020下半年高出400% 。但不幸的是，攻击也在卷土重来。

（更多原因分析，请点击https://www.wjx.cn/vj/mynKcx6.aspx）

关于NuData,一家万事达卡安全公司

NuData安全公司属于万事达卡公司。它可以根据用户的在线互动来帮助企业识别用户，并阻止各种形式的自动欺诈。NuData利用行为分析和被动生物识别学的能力，通过每月评估超过17亿个行为事件，使其客户能够将合法用户和高危用户区分开来。这使得客户在关键决策之前验证用户，阻止账户接管，停止自动攻击，同时减少对客户的名誉损害。NuData风险解决方案被世界上众多知名品牌用于阻止欺诈，为各品牌提供更好的客户体验。

中付技术是万事达卡在中国大陆地区合作伙伴，如您想要了解更多关于NuData风险产品的信息，请联系我们。https://www.wjx.cn/vj/mynKcx6.aspx

2021年8月20日，经第十三届全国人大常委会第三十次会议审议后，《中华人民共和国个人信息保护法》（以下简称“《个保法》”）获得通过并公布，并将于2021年11月1日起生效实施。这是中国第一部专门规范个人信息保护的法律，对我国公民的个人信息权益保护以及各组织的数据隐私合规实践都将产生直接和深远的影响。

为何支付行业需要重点关注《个保法》？

支付业务属性决定其必须处理大量用户个人信息甚至敏感信息。因此《个保法》对于支付行业的影响范围主要会涵盖以下几方面：商业银行等金融机构、第三方支付机构等非金融机构、支付及安全技术服务机构等此类涉及到交易数据处理的机构。以上各类机构及公司需要严格按照《个保法》中关于个人信息处理及敏感个人信息处理的要求检查相应业务及系统流程，确保相关数据信息的获取、处理、存储和应用等符合监管法规的要求。

例如支付清算机构为银行业金融机构、第三方支付机构提供转接清算服务，需处理包括身份证号、短信验证码、银行账号等身份认证信息，付款金额等交易信息以及自然人商户信息等。从某种程度上说，清算业务本身就是对个人信息的处理业务。此外，支付清算机构还需要按照人民银行相关监管要求，在履行包括风险监控、交易信息分析等职责时，同样涉及到处理大量个人信息需要按照《个保法》中相关规定进行合规处理。

实际支付业务中所涉及个人信息及敏感个人信息

支付业务中由于风险管控的需要，通常面临尽职调查、反欺诈、反洗钱等问题，需要收集大量交易方的个人信息，以实现对用户、用户设备的身份识别和认证。此类业务中涉及到的个人信息包括但并不限于如下内容：

• 客户尽职调查：客户身份认证以及实益所有权识别 、制裁名单筛查、负面信息、CDD 陈述 vs. 实际业务活动、交易监控、交易警报、调查案件、可疑交易报告等。
• 反欺诈：设备信息（如设备id、设备硬件参数、软件配置等）、用户身份标识、用户操作系统标识、浏览器标识、cookie、支付信息（支付方式、支付帐号或卡号）、交易信息（购买商品或服务名称、规格、价格等）、联系信息（姓名、国家、地址、邮编、电话）等
• 反洗钱：包括客户身份信息及资料、账户交易流水、大额和可疑交易报告、客户风险等级、可疑案例监测模型、黑名单信息、洗钱风险评估相关内容、反洗钱分类评级结果、反洗钱协查信息等等。

针对于以上支付行业涉及的个人信息的内容，此次《个保法》的出台对于此类信息的处理规则、合规管理以及处罚等方面均作出了明确规定，具体如下：

（一）处理个人信息的基本规则

《个保法》第二章规定了个人信息处理的八大规则，涵盖处理个人信息的合法性基础、处理个人信息的告知与同意要求，个人信息处理的不同场景（共同处理、委托处理），个人信息处理的不同方式（共享、公开）等。

对于支付业务来说，首先应当在合法的基础上处理个人信息：例如应当取得个人的同意，遵循相关的法律法规（《非银行支付机构条例（征求意见稿）》、《中华人民共和国反洗钱法（修订草案公开征求意见稿）》）合同，规章制度等，在合理的范围内处理个人信息；

其次要遵循个人信息告知与同意的要求：个人信息处理者在处理个人信息前，应以显著的方式、清晰易懂的语言向个人告知特定事项，但根据法律、行政法规规定应当保密或者不需要告知的情形除外。

（二）处理敏感个人信息的特殊规定

《个保法》对敏感个人信息的处理规则专门进行规定。在支付业务中，个人敏感信息可能会体现在：个人的身份信息，支付信息，交易信息等。据此在处理这些信息时应当需要遵守的规则主要包括：

1. 需要取得个人的单独同意；法律、行政法规另有规定需取得书面同意的，或者规定处理敏感个人信息应取得相关行政许可或者作出其他限制的，从其规定。
2. 在告知内容方面，需特别向个人告知处理敏感个人信息的必要性以及对个人权益的影响。

（三）个人信息跨境提供规则

《个保法》明确了个人信息跨境提供的基本规则，主要包括以下方面：

法定条件。《个保法》规定向境外提供个人信息应首先满足“因业务等需要，确需向中国境外提供个人信息”的前提，同时还应具备下列条件之一：

• 通过国家网信部门组织的安全评估；
• 经专业机构进行个人信息保护认证；
• 按照国家网信部门制定的标准合同与境外接收方订立合同；
• 法律、行政法规或者国家网信部门规定的其他条件。此外，如果中国缔结或者参加的国际条约、协定对向境外提供个人信息的条件等有规定的，可以按照其规定执行。

对于支付行业来说，主要会涉及个人信息的的场景是将境内用户的个人信息提供给境外机构或者是企业，这就需要首先告知同意要求,应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。其次，需要设定保护标准。具体来讲个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。此外，对于其他特定出境情形，《个保法》规定了个人信息处理者向外国司法或者执法机构提供存储于中国境内的个人信息应经中国主管机关批准，并对损害中国公民个人信息权益的境外组织与个人采取负面清单要求。此外，《个保法》还针对在个人信息保护方面对我国采取歧视性的不合理措施的其他国家和地区的规定了对等采取措施的要求。

（四）强化个人信息处理者的合规管理义务

还需要注意的是，《个保法》还明确了个人信息处理者的合规管理和保障个人信息安全等义务，具体包括：

• 要求其按照规定事前采取必要措施确保个人信息处理活动的合规性与安全性；
• 指定个人信息保护负责人对信息处理活动进行监督；
• 定期对其个人信息处理活动进行合规审计；
• 对处理敏感个人信息、自动化决策、向境外提供个人信息等高风险处理活动，应事前进行风险评估并对处理情况进行记录；
• 针对个人信息泄露等安全事件履行通知和补救义务等。

以上要求需要在实际业务流程中以业务动作、系统功能等方式进行落实。

（五）明确对于个人信息泄露行政处罚与法律责任

此次《个保法》对违法行为加大惩处力度，设置了严格的法律责任。

例如，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、吊销相关业务许可或者营业执照。

《个保法》同时对侵害个人信息权益的民事赔偿、刑事责任以及公益诉讼做出规定。具体而言，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。违反《个保法》规定构成犯罪的，追究刑事责任。个人信息处理者侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。

总结：

对于涉及金融及跨境支付行业的企业，还应结合相应行业的特点以及监管的特别要求，例如对于个人数据隐私的保护还需要参考《网络安全法》，《非银行支付机构条例（征求意见稿）》以及《中华人民共和国反洗钱法（修订草案公开征求意见稿）》《信息安全技术公共及商用服务信息系统个人信息保护指南》（国标GB/Z28828-2012）等，进行相应的合规整理工作。

相关参考文章：

http://www.junhe.com/legal-updates/1539

https://baijiahao.baidu.com/s?id=1708861305595479015&wfr=spider&for=pc

https://mp.weixin.qq.com/s/uJ5FSqmAB5bQU81KLPbmOQ

https://mp.weixin.qq.com/s/Fu6opV2qrAfVR83oodsB2g

https://www.tc260.org.cn/front/postDetail.html?id=20210105154506

2021年7月21日，作为中国支付清算协会理事单位，中付技术参加中国支付清算协会举办的主题为《新监管形势下反洗钱义务机构如何做好可疑交易报告》的线上培训。

中付（深圳）技术服务有限公司风控合规部、产品运营部等部门的同事与来自全国的商业银行、支付机构、科技公司等上千名业务骨干与反洗钱工作人员共同参加了线上直播培训。

培训中，来自湖南省农村信用社联合社的反洗钱专家分别从交易报告的概念和意义、大额交易报告的标准与程序、可疑交易报告的内容要素与操作要点等方面向大家分享在日常工作中如何做好反洗钱报告。

中付技术风控合规负责人表示，通过参与本次活动，再次加深了对反洗钱监管框架、运行机制及报告流程的理解，后续会及时调整公司风控产品和相关策略，以提供更好的合规反洗钱解决方案给行业客户。

作为支付清算协会理事单位，中付技术积极参与协会组织的行业研讨、业务分享等工作，凭借自身在跨境支付行业多年的服务经验，通过跨境支付技术、风控、动态汇率转换等服务手段，为我国跨境电商行业发展持续贡献力量。