银联卡移动支付业务智能卡模式风险规则试行定稿

银联卡移动支付业务（智能卡模式）风险规则 （试行）目 录

1 总则

1.1 目的

1.2 定义及业务场景

1.3 适用范围

1.4 主要业务术语

1.4.1 智能卡

1.4.2 移动终端支付应用软件 1.4.3 可信服务管理（TSM） 1.4.4 Upcard应用

1.4.5 初始化和个人化 1.4.6 应用管理终端2 发卡机构风险管理 2.1 业务申请及开通

2.1.1 2.1.2 2.1.3 Upcard

2.1.4

开通卡种

应用开

通补充要求

持卡人身份审核

风险告知

2.1.5 业务开通协议风险要求

2.2 支付交易风险管理

2.2.1 交易验证

2.2.2 交易限额管理

2.2.3 交易验证容错次数限制

交易风险监控 2.3

2.3.1 监控指标

2.3.2 指标运用

2.4 智能卡生命周期管理

2.4.1 制卡及运输

2.4.2 智能卡初始化

2.4.3 智能卡金融信息加载与个人化

2.4.4 智能卡配发

2.4.5 智能卡挂失和解挂

2.4.6 智能卡注销

2.5 移动终端支付应用软件安全要求 2.5.1

基本要求

2.5.2 登录控制

2.5.3 账户信息安全 2.5.4 移动终端支付应用软件发布 2.5.5 移动终端支付应用软件维护 2.6 应用管理终端风险管理 2.6.1

2.6.2 2.6.3 2.6.4

基本要求

补充要求

终端申领

签署终端申领协议

2.6.5 终端接入

2.6.6 终端申领登记

2.6.7 应用管理终端巡检与维护

2.6.8 应用管理终端回收

2.7 第三方服务机构风险管理

资质要求 2.7.1

2.7.2 合作协议必备风险条款

2.7.3 要求缴纳风险保证金

2.7.4 风险培训

2.7.5 日常风险管理

2.7.6 违规处理

3 收单机构风险管理

3.1 交易处理

3.1.1 规范设置交易报文

3.1.2 账户信息安全管理

3.1.3 交易凭证对卡号屏蔽的要求 3.2 商户风险管理

3.2.1 禁入商户

3.2.2 谨慎发展商户 3.2.3 入网审查

3.2.4 商户签约

3.2.5 3.2.6 3.2.7

3.2.8 3.2.9

商户入网商户风险培训

商户注册登记

商户日常回访

商户风险监控

3.2.10 二级商户管理

3.3 近场交易受理终端安全管理

3.3.1 基本要求

3.3.2 终端申领

3.3.3 签署终端申领协议

终端布放 3.3.4

3.3.5 终端接入

3.3.6 终端巡检与维护

3.3.7 终端回收

3.3.8 终端风险监控

3.4 收单专业化服务机构风险管理

3.4.1 资质准入

3.4.2 风险审查

3.4.3 签署协议

3.4.4 风险培训

3.4.5 日常监督管理

3.4.6 收单专业化服务机构的风险监控

3.4.7 违规处理

3.4.8 业务终止

4 风险事件报送及处置

4.1 发卡机构风险报告及处理 4.1.1

4.1.2 4.1.3 4.1.4 4.2 收单机构风险报告及处理

风险报告卡片账户处理

协助案件调查

优化风险监控措施

4.2.1 报告风险事件

4.2.2 调查欺诈商户

4.2.3 协助案件调查

4.2.4 风险整改

4.3 中国银联风险事件协查及处理

发送风险提示 4.3.1

4.3.2 组织开展案件调查

4.3.3 督促风险整改

5 风险责任划分

5.1 基本原则

5.2 风险责任划分

附则6

1 总则

1.1 目的

为加强银联智能卡移动支付业务风险管理，保障银联智能卡移动支付业务持续健康发展，特制定本规则。

1.2 定义及业务场景

本规则所指智能卡移动支付业务是指消费者通过移动终端（主要为手机）完成货币资金转移的支付方式。根据交易发起方

式，可分为移动近场支付和移动远程支付。

移动近场支付指通过支持近场通讯的实体受理终端（包括POS、ATM、自助终端等），在交易现场以联机或脱机方式接入收单网络完成货币资金转移的支付方式。本规则中特指基于规范的智能卡发起的移动近场支付。移动远程支付指手机等移动终端，通过无线通信网络接入，直接与后台服务器进行交互，完成货币资金转移的支付方式。

1.3 适用范围本规则适用于接入银联网络开展智能卡移动支付业务的各参与方，包括银行卡发卡机构、收单机构应通过与第三方专业化服务机构、明确本规则规定的相关风险管理要求。本规则适用于境内移动支付业务。

PBOC

发卡机构、

中国银联。特约商户之间的协议

收单机构、

1.4 主要业务术语

1.4.1 智能卡

集成了安全芯片（安全运算和安全存储单元）的集成电路（IC）卡片，在智能卡移动支付中存储持卡人账户信息和各种支付应用。

安全芯片内置的移动终端和外接卡、SIM卡、SD智能卡包括

设备等形式。

1.4.2 移动终端支付应用软件

移动支付业务中，在移动终端上使用（通常为手机），实现金融支付功能的应用软件。

1.4.3 可信服务管理（TSM）

即可信任的服务管理系统，在智能卡参与的移动支付场景中，TSM 系统负责智能卡多应用管理的业务、技术及安全。

1.4.4 Upcard应用

即UnionPay card应用，将经安全加密后的磁条卡信息下载到智能卡并实现移动支付功能的应用。

1.4.5 初始化和个人化

智能卡初始化是指向智能卡安装初始根密钥，付应用（PBOC或UPCARD）。

智能卡个人化是指初始化智能卡内的手机支付应用文件系统和密钥信息，收集用户的个人信息并写入智能卡。1.4.6

智能卡移动支付并对智能卡进行个人化和磁条卡信息下载的终端机具。2 发卡机构风险管理2.1

并获取手机支

Upcard

应用管理终端

业务申请及开通

应用中具备刷卡上送磁密信息功能，

2.1.1 开通卡种

发卡机构应仅限以个人标识代码（PIN）作为交易验证方式的银行卡（凭密交易银行卡）开通智能卡移动支付业务（除电子现金账户外）。

2.1.2 持卡人身份审核

应用的借贷记帐户，发卡机构应根据自身发卡风PBOC对于

险策略，认真审核持卡人身份及有效证件，如要求持卡人本人至发卡机构柜面申请办理，或落实其他“亲访亲签”要求。

对于Upcard应用，发卡机构应根据不同开通渠道分别验证以下要素：

（1）通过发卡机构柜面办理的，应审核持卡人有效身份证件，并验证银行卡磁道信息和密码。

（2）通过第三方服务机构现场办理的，应审核持卡人有效

身份证件，验证银行卡磁条信息、密码，并获得发卡机构对磁条卡信息下载操作的授权。