“升级版”二维码支付问世 到底不同在哪里？

　　银联二维码支付标准于12日正式发布。相较于此前已经在市场上展开运用的二维码支付业务，有市场人士把这一标准的二维码支付称为“升级版”，也有人说这意味着二维码支付“合规化”。

　　本期“愉见财经”就来解读，这“升级版”到底与原来的产品不同在哪里?

　　此次发布的银联二维码支付标准包括《中国银联二维码支付应用规范》、《中国银联二维码支付安全规范》两个标准。

　　基于传统“四方模式”

　　第一个不同点是，消费者在使用“升级版”二维码支付时，每笔付款都会从其某个银行账户里支出，而原本的二维码支付，只要他的虚拟“钱包”(比如微信钱包，亦即非银行支付账户)里有足够的余额，此单支付完全不必调用银行卡。

　　消费者可能觉得这没有什么大不了。但对于银行卡产业而言，这背后是江湖之争。同时，非银行账户（也有人称此为“虚拟账户”）里的资金沉淀，或也事关风控问题。

　　“升级版”的二维码支付，只在于它的前端使用的支付信息交互方式是通过扫码实现的，但后台，走的还是和原来实体银行卡支付一模一样的流程——这就意味着从银行卡产业各方分业务“大蛋糕”的角度而言，“升级版”二维码支付仍然是基于传统的“四方模式”，也就是持卡人、商户、商业银行和转接清算机构都在里面。

　　这种模式里，转接清算机构不过是个“平台”，既不能抛开银行单干、也不与发卡机构或收单机构争利。“产业链”里是多方分利润，发卡、清算、收单各方按照“96费改新规”里定的标准各取其成。

　　除了赚取手续费，还有金融机构最在乎的“大数据”。“升级版”二维码支付模式正因为仍旧基于银行卡账户，因此中间没有非银行账户介入，对发卡行而言，消费者在哪里扫码、花了多少钱买了什么，数据透明完整，尽在掌握。当然换个角度说，这也有利于银行进行风险识别管控和客户关系管理。

　　而此前互联网金融机构系的二维码支付模式，这中间都有一道非银行账户。比如支付宝和微信支付(借助“财付通”)，本身都是基于第三方收单牌照而衍生开发出来的一系列产品，并且利用与一家一家银行谈下来的直连通道关系，直接在支付过程中做完了转接清算，所以“滴”一声扫码背后，是“四方模式”里的传统清算机构先被抛出。

　　再看支付的资金如何转移。钱，并不是从A银行账户转到B银行账户的，而是从消费者的银行账户转到消费者在这家互联网支付机构的非银行账户里头，比如转到微信钱包里，再由微信支付转到它自己体系里的另一个非银行账户，也就是商家账户，然后再由商家提现到自己的银行卡里。当然这已经是最简流程了，实际操作中，我们的非银行账户里是会留存资金的，没准一会还要去发几个红包呢是不是?有的互联网支付机构还会和理财账户打通，来来去去做着“T+0”。

　　所以，原本的二维码支付模式，很显然是一个支付“闭环”，这点和“升级版”的开放体系并不一样。除了传统清算机构被抛出以外，商业银行也有被边缘化的趋势：一来，一扫码就意味着把线下场景搬去了线上支付，在发改委的刷卡手续费指导价格都难以指导到的线上定价，基本上是互联网支付“双寡头”说了算，多数银行议价能力并不强;二来，银行也难以对消费者的笔笔交易都清晰介入。如前文所及，他们丢了原本想要的客户“数据”，不能画客户“肖像”不便于综合开发优质客户了，也不便于对这些支付进行风险管理。

　　其实，我们作为持卡人，从账单上就能管中窥豹。核对信用卡账单会发现，除个别叫板能力特别强的银行外，绝大多数银行的账单上，用支付宝或微信支付完成的交易，账单都只记录到支付宝或微信，上头没有最后去向的商户名。不止持卡人看不到，银行们也两眼一抹黑。支付宝和微信支付的二维码的背后，玩得是在他们自己账户体系内的“转存”。

　　所以，换言之，“升级版”二维码支付也意味着扫码支付市场迎来的巨头新玩家，市场也将由目前第三方支付机构为主且双寡头竞争的格局进入由十余家全国性银行、银联、多家第三方支付机构共同参与的多头竞争阶段。

　　扫码装了安全“令牌”

　　第二个不同点，是“升级版”二维码支付采用了Token(支付标记化)技术，业内也常常把支付处理过程称的Tokenisation形象地译成“令牌化”。银联相关业务负责人表示，这是对此前二维码支付存在的木马等安全隐患、对持卡人账户敏感信息泄露引起盗刷风险的一种防范。

　　怎么理解这道“令牌”?最点睛的一笔是，通过这种安全机制，消费者的银行卡号是先被替换后，再行支付的，每次支付时可以做到替换成不同数串。所以木马病毒即便要窃取信息，也无非是窃得这个替代了银行卡号的Token，就像偷了件没啥大用场的“马甲”而已。

　　EMVCo国际组织安全专家周皓在接受一财网记者采访时介绍称，Token和卡号不会同时用于交易路由判读，采用了Token技术后，商户和收单机构手上也只存有Token，实现了对持卡人卡号信息的保护。而掌握Token和卡号绑定关系的机构是TSP（Token服务提供方），其管理方是卡组织或者发卡银行，它负责Token的发行与验证，为从Token到卡号的还原提供相关的验证服务，重点是对交易金额的控制。

　　周皓还表示，依据人民银行近期发布的《中国金融移动支付 支付标记化技术规范》，开放式Token的外在形式并没有什么变化，仍然是16至19位数字，包括三部分：标记发行机构识别码、自定义字段与校验码，与银行卡卡号组成类似，，同样拥有失效期，因此商户以及收单机构不需改造系统就可以处理开放式Token。

　　此前的二维码支付，由于还没有统一的安全认证标准，在交易信息安全保障上更多地依赖支付企业自身的风控水平，但支付企业的风控水平是参差不齐的，市场上出现“双寡头”后，再要全面推行二维码支付就困难了。“升级版”的二维码支付给出了统一标准，给更多玩家入局提供了平台。

　　在这一点上，上述银联相关业务负责人告诉一财网记者，“升级版”二维码做到了在相同场景下技术模式统一，可以实现不同机构之间的业务互联互通，也确保用户使用体验的一致性;同时，“升级版”二维码还兼容相关国际标准，预留技术扩展性。看来这二维码以后不仅会在境内推广开来，还会和境外二维码支付跨境互通。（夏心愉）