利用POS机“预授权”套走1个亿，银行、收单方、银联谁背锅

　　犯罪分子利用银联设计的“超限”功能，即通过预授权信用卡最高能刷可交易额度的115%，与部分支持预授权类交易的特约商户勾结，合谋套取发卡银行额外信用额度。

　　广东省广州市中级人民法院近日就这样一个案件进行了判决，由此也让这一违法手法的细节曝光——在这个案件中，作案人利用15台POS机，在短短一年时间里，就“套”走了1个亿，金额之大、手法之娴熟以及团队运作之“高效”，令人吃惊。

　　其中，值得注意的是，发卡行广东南粤银行广州分行(下称“南粤银行广州分行”)与外包收单服务的第三方支付机构汇联支付网络技术服务有限公司(下称“汇联支付”)却因谁该承担或者赔偿南粤银行广州分行高达578万元的损失，产生意见冲突。而有观点也认为，非法套现金额如此巨大，也跟银联的预授权规则存在漏洞有关系。

　　那么，犯罪分子是如何利用POS机的“预授权”功能套现1亿多元人民币?而银行、第三方支付和银联，究竟谁该背这个“锅”?

　　1个亿是如何“套”出去的?

　　2013年，广东省花都区名叫“品然店”、“达联行”等的15家商户，每家都由汇联支付安装了一台南粤银行广州分行的POS机。

　　同年12月，刘某和叶某发现品然店等店铺的南粤银行广州分行POS机有“预授权”功能，便找来同伙赖某和罗某分工合作，通过利用POS机进行未发生实际货物交割的“预授权交易”，非法套取信用卡卡内资金。该团伙分头向15家商户租取POS机，并答应店主以“预授权”交易金额的0.5%支付其手续费。

　　在2013年12月到2014年12月仅仅一年时间里，刘某等总计从15家商户非法套现1亿多元人民币。这种利用信用卡“预授权”漏洞进行超额套现的犯罪手法俗称“空套”。

　　信用卡预授权通常指，商户向发卡机构取得持卡人30天内在不超过预授权一定金额比例范围的付款承诺。简单来说，预授权就是先冻结信用卡内部分资金用作押金，随后按实际消费金额结算的交易。当客户在30天内对预授权进行结算时，该预授权就会被取现。

　　一位银行信用卡风险管理部门负责人对第一财经记者表示，犯罪分子通常会同时拥有一台预授权功能的POS机A和一台用于消费的POS机B。首先将本金存入到信用卡上以提高可消费额度，按照惯例，消费会优先扣除这笔溢缴款资金;其次，在A机上发起一笔与本金等额的大额预授权交易假设30万元和一笔假设100元小额预授权交易;然后，将30万元预授权交易用B机刷掉，并取消100元预授权交易，之后预授权就又恢复到30万元，便可以反复进行套现。

　　此中的关键在于，第三步中撤销小笔金额后，会误导银行认为刚刚那笔30万元的交易也未完成。但事实上，那笔30万元已经被转走了。

　　普通的信用卡套现是通过POS机以虚假交易的方式，将信用额度以内的金额套现，而“空套”则可以套现出远高于信用额度的金额。只要先向信用卡内存入大笔现金，就能将这张信用卡额度瞬间提升到数百万，再利用银联设置的“预授权交易金额上浮15%”的规则，就能套取发卡银行额外信用额度。。

　　例如，如果某张信用卡透支额度仅1万元，但存30万元进去后，可用额度变成了30万元，那么通过预授权就可以交易34.5万元。如此便可直接绕过信用卡的透支额度限制。而此中关键便在于银联设计的“超限”功能，即通过预授权信用卡最高能刷可交易额度的115%。

　　发卡行、收单方和银联谁应承担损失

　　“利用银联上浮15%的‘超限’功能进行信用卡‘预授权’套现的案件这两年已经不多了，但信用卡套现行为仍然屡禁不止，”上述银行信用卡风险管理部门负责人对第一财经记者表示，“经过2013、2014年此类案件的集中爆发，银行和第三方收单机构目前都加强了对商户信息的核查。”

　　事实上，早在2014年此类案件多发时，银联就已警示信用卡套现第三方清查商户信息，目前此项“超限”功能仍然适用于商户的“预授权交易”中。

　　银联方面对第一财经记者表示，就规则本身而言是没有问题的，如今仍在使用。至于犯罪分子利用该规则实施诈骗，银行和负责收单的第三方支付机构应加强对商户的信息核查。银联当初设置预授权交易上浮15%这条规则的时候参照了VISA和MASTER CARD，主要是针对酒店额外消费。

　　上述案件中，南粤银行广州分行和汇联支付对商户核查、监控不到位，或也使犯罪分子有机可趁。

　　在上述案件初审中，南粤银行广州分行诉讼请求汇联支付赔偿其损失人民币578万(此涉案金额为退单金额减去‘南粤银行已扣回金额’再减去‘商户已退款金额’的差额)及利息。

　　在南粤银行看来，其与汇联支付以及银联签订的《银行卡收单专业化服务合作协议书》和汇联支付出具的《银行卡收单外包服务承诺书》均显示， “商户出现套现、虚假交易、侧录磁道信息等违规行为，经过中国银联的差错争议处理或生效的法律判决判定最终责任在商户的，汇联应向南粤银行承担其已经向发卡行或持卡人承担的相应责任和损失赔偿。”

　　因此，由于在本案中商户非法经营，以虚构交易的方式，使用销售点终端机具刷卡套现，造成南粤银行损失，广州市花都区人民法院原审判决汇联支付应偿付南粤银行的全部损失及利息。

　　然而，汇联支付此后上诉表示不服判决，认为南粤银行违规向15家商户开放“预授权交易”权限，而且没有告知汇联支付。根据中国人民银行规定，预授权交易只普遍存在于酒店和租车等特定行业，而这15家商户不符合银行对其开放预授权的标准。因此，南粤银行也应当依法承担相应的风险责任。

　　同时，由于涉案商户所申请的POS机为“T+1”结算类型，即为收单行及发卡行可以预留出至少一天的审查和应对时间。而且预授权交易时，其交易数据包是同时到达发卡行、收单行后台交易及管理系统的。但在2013年12月至2014年12月期间，过亿的预授权交易金额却被放行无阻。因此，汇联支付方面认为，此次交易损失也是由于南粤银行放弃日常审核义务及存在的风险管理漏洞所造成的。无论是发卡行、收单行均应按风控规则审核POS商户的预授权交易权限、持卡人交易是否正常等交易信息。

　　最终法院接受汇联支付的上诉意见，承认未考虑南粤银行对损失造成也存在过错，从而减少汇联支付的赔偿金额，损失由南粤银行和汇联支付共同承担。