北京市民李紅（化名）被騙子利用“人臉識別”等手段騙走近43萬元人民幣的報道引起社會關(guān)注。原因之一是交通銀行的人臉識別技術(shù)存在漏洞。

　　當(dāng)前，金融科技蓬勃發(fā)展，大量新技術(shù)被廣泛應(yīng)用于金融產(chǎn)品和服務(wù)創(chuàng)新。金融機構(gòu)應(yīng)正確把握安全與發(fā)展、風(fēng)險與創(chuàng)新的關(guān)系，把安全性放在第一位，不斷提升風(fēng)險防范能力，加強消費者權(quán)益保護(hù)，確保金融科技行穩(wěn)致遠(yuǎn)。

　　“你的臉很重要！”近年來隨著信息科技快速發(fā)展，技術(shù)創(chuàng)新與金融行業(yè)深度融合發(fā)展。多家商業(yè)銀行和非銀行支付機構(gòu)應(yīng)用人臉識別技術(shù)，紛紛推出相關(guān)產(chǎn)品和服務(wù)。如借助人臉識別技術(shù)完成日常支付，在人們生活中開始出現(xiàn)并獲得不少人青睞。與此同時，人臉識別技術(shù)更被廣泛應(yīng)用于物業(yè)管理、公共交通等各類場景，“刷臉”已經(jīng)飛入尋常百姓家。

　　所謂的人臉識別技術(shù)，是基于人的面部特征信息進(jìn)行身份識別的一種生物識別技術(shù)，是指通過拍照或攝像得到的圖像信息和后臺數(shù)據(jù)庫中預(yù)先收集儲存的面部信息進(jìn)行比對，從而完成身份識別。那么，人臉識別技術(shù)是否可以應(yīng)用于金融領(lǐng)域？其安全性如何？

　　人臉識別技術(shù)應(yīng)用根據(jù)場景的不同可分為線下和線上兩種。在線下，人臉識別過程的環(huán)境受控，欺詐風(fēng)險小，且人臉識別技術(shù)應(yīng)用通過專用網(wǎng)絡(luò)、專用終端、近紅外活體檢測等技術(shù)，能夠防范木馬病毒和假體攻擊，一般可以保護(hù)用戶信息及資金安全，風(fēng)險基本可控；在線上，人臉識別過程的環(huán)境不確定，欺詐風(fēng)險較高，且人臉識別技術(shù)應(yīng)用處于開放網(wǎng)絡(luò)環(huán)境，通過移動終端進(jìn)行信息采集、驗證，難以有效抵御木馬、病毒、假體等外部攻擊，隱私泄露和交易風(fēng)險較高。

　　因此，現(xiàn)階段，人臉識別線下應(yīng)用相關(guān)技術(shù)相對成熟，其應(yīng)用推廣具備一定條件，但不應(yīng)將人臉識別作為唯一識別因素。人臉識別線上應(yīng)用仍存在不確定的風(fēng)險，其應(yīng)用受到一定的限制，推廣條件不成熟。

　　

　　技術(shù)是一把雙刃劍。就金融領(lǐng)域而言，人臉識別技術(shù)在提升金融服務(wù)便捷性的同時，存在一些應(yīng)用風(fēng)險，在某些時候這種風(fēng)險還非常大。

　　一是信息泄露風(fēng)險。人臉特征具有唯一性，與人類生命相伴而生，不法分子可通過遠(yuǎn)程、非接觸方式，在商場、旅館、飯店、街道等公共場所非法批量獲取用戶人臉信息，導(dǎo)致基于人臉特征的身份認(rèn)證系統(tǒng)可被輕易繞過，危害程度較大。

　　二是假體攻擊風(fēng)險。人臉識別技術(shù)難以判斷識別對象是否為真實活體，不法分子通過照片、視頻、高仿面具等手段，仿冒用戶人臉進(jìn)行2D或3D攻擊。雖然現(xiàn)在活體檢測技術(shù)水平已經(jīng)大大改進(jìn)，但道高一尺魔高一丈，隨著人工智能、大數(shù)據(jù)等技術(shù)不斷發(fā)展演進(jìn)，新型攻擊手段不斷出現(xiàn)，對用戶資金安全造成潛在威脅，不容忽視。

　　三是算法漏洞風(fēng)險。目前，活體檢測、人臉識別算法仍在快速迭代，識別通過率、誤識率等關(guān)鍵指標(biāo)相互關(guān)聯(lián)、難以同時兼顧，且隨光照、遮擋等外界環(huán)境因素干擾較大，可能存在隱藏的未知漏洞，一旦被不法分子發(fā)現(xiàn)并加以利用，易導(dǎo)致活體檢測或人臉識別失效，造成系統(tǒng)性風(fēng)險。

　　當(dāng)下，一些金融機構(gòu)和支付機構(gòu)自以為掌握了一些技術(shù)，在應(yīng)用人臉識別技術(shù)的時候，更多考慮用戶體驗，而未充分評估和防范其中的風(fēng)險。這種不審慎的行為，給金融業(yè)務(wù)埋下了風(fēng)險隱患。眾所周知，人臉普遍暴露在商場、旅館、飯店、街道等各種公共場所，過度的便捷已給不法分子帶來可乘之機。

　

　　無論是人民銀行發(fā)布的《金融科技發(fā)展規(guī)劃（2022-2025年）》，還是銀保監(jiān)會發(fā)布的《關(guān)于銀行業(yè)保險業(yè)數(shù)字化轉(zhuǎn)型的指導(dǎo)意見》，都對堅守安全底線、防范技術(shù)風(fēng)險提出明確要求。由于互聯(lián)網(wǎng)的虛擬化、金融服務(wù)的數(shù)字化、參與主體的多樣化，金融科技風(fēng)險呈現(xiàn)蔓延速度快、隱蔽性強、潛伏期長、外溢效應(yīng)明顯等特點，金融機構(gòu)在敏感信息保護(hù)、客戶資金安全等方面面臨較大壓力。因此，總體而言，無論是商業(yè)銀行還是其他機構(gòu)，在應(yīng)用人臉識別技術(shù)時，應(yīng)把安全性放在第一位，以最嚴(yán)格的標(biāo)準(zhǔn)審慎對待，在確保安全的前提下合理應(yīng)用。從技術(shù)的層面看，應(yīng)采取多方面措施保障人臉識別技術(shù)安全應(yīng)用。

　　一是數(shù)據(jù)脫敏。在獲取用戶充分授權(quán)前提下采集用戶人臉特征信息，利用標(biāo)記化等技術(shù)對采集的用戶人臉特征原始信息進(jìn)行脫敏處理，并通過不可逆加密技術(shù)將轉(zhuǎn)換后的信息進(jìn)行加密，保障用戶人臉特征數(shù)據(jù)傳輸、存儲的安全性，實現(xiàn)用戶人臉特征敏感信息的可靠保護(hù)。

　　二是隱私計算。借助可信執(zhí)行環(huán)境（TEE）、安全多方計算（MPC）等技術(shù)手段，在不歸集、不共享原始數(shù)據(jù)的前提下，完成對人臉特征信息的安全處理，僅向外提供脫敏后的計算結(jié)果，確保人臉特征數(shù)據(jù)在使用、處理和流轉(zhuǎn)過程中不發(fā)生泄露，有效解決數(shù)據(jù)隱私保護(hù)和高效處理流通之間的矛盾。

　　三是分散存儲。將用戶人臉信息與姓名、電話等關(guān)聯(lián)性較高的敏感信息進(jìn)行安全隔離、分散存儲，達(dá)到差分隱私的目的，保證攻擊者無法通過部分?jǐn)?shù)據(jù)推斷出其他隱私信息，降低敏感數(shù)據(jù)集中存儲帶來的隱私泄露風(fēng)險。

　　金融管理部門應(yīng)加快出臺并不斷完善包括人臉識別在內(nèi)的生物識別技術(shù)在金融領(lǐng)域的應(yīng)用規(guī)范、技術(shù)標(biāo)準(zhǔn)等，推動各類參與主體提高認(rèn)識，共筑金融安全防線。金融機構(gòu)應(yīng)正確把握安全與發(fā)展、風(fēng)險與創(chuàng)新的關(guān)系，認(rèn)真落實相關(guān)要求，確保新技術(shù)、新產(chǎn)品安全合規(guī)，并在充分告知風(fēng)險的情況下為消費者提供多種選擇。如果由于新技術(shù)不當(dāng)應(yīng)用給金融消費者帶來損失，金融機構(gòu)應(yīng)主動承擔(dān)相應(yīng)的責(zé)任。金融消費者要全面看待技術(shù)創(chuàng)新和應(yīng)用，增強識別和防范詐騙的意識和能力，并妥善保護(hù)好個人敏感信息，降低信息泄露風(fēng)險，守護(hù)好“錢袋子”安全。

　　（作者董希淼 系中關(guān)村互聯(lián)網(wǎng)金融研究院首席研究員）