北京市民李紅（化名）被騙子利用“人臉識別”等手段騙走近43萬元人民幣的報道引起社會關注。原因之一是交通銀行的人臉識別技術存在漏洞。

　　當前，金融科技蓬勃發(fā)展，大量新技術被廣泛應用于金融產(chǎn)品和服務創(chuàng)新。金融機構應正確把握安全與發(fā)展、風險與創(chuàng)新的關系，把安全性放在第一位，不斷提升風險防范能力，加強消費者權益保護，確保金融科技行穩(wěn)致遠。

　　“你的臉很重要！”近年來隨著信息科技快速發(fā)展，技術創(chuàng)新與金融行業(yè)深度融合發(fā)展。多家商業(yè)銀行和非銀行支付機構應用人臉識別技術，紛紛推出相關產(chǎn)品和服務。如借助人臉識別技術完成日常支付，在人們生活中開始出現(xiàn)并獲得不少人青睞。與此同時，人臉識別技術更被廣泛應用于物業(yè)管理、公共交通等各類場景，“刷臉”已經(jīng)飛入尋常百姓家。

　　所謂的人臉識別技術，是基于人的面部特征信息進行身份識別的一種生物識別技術，是指通過拍照或攝像得到的圖像信息和后臺數(shù)據(jù)庫中預先收集儲存的面部信息進行比對，從而完成身份識別。那么，人臉識別技術是否可以應用于金融領域？其安全性如何？

　　人臉識別技術應用根據(jù)場景的不同可分為線下和線上兩種。在線下，人臉識別過程的環(huán)境受控，欺詐風險小，且人臉識別技術應用通過專用網(wǎng)絡、專用終端、近紅外活體檢測等技術，能夠防范木馬病毒和假體攻擊，一般可以保護用戶信息及資金安全，風險基本可控；在線上，人臉識別過程的環(huán)境不確定，欺詐風險較高，且人臉識別技術應用處于開放網(wǎng)絡環(huán)境，通過移動終端進行信息采集、驗證，難以有效抵御木馬、病毒、假體等外部攻擊，隱私泄露和交易風險較高。

　　因此，現(xiàn)階段，人臉識別線下應用相關技術相對成熟，其應用推廣具備一定條件，但不應將人臉識別作為唯一識別因素。人臉識別線上應用仍存在不確定的風險，其應用受到一定的限制，推廣條件不成熟。

　　

　　技術是一把雙刃劍。就金融領域而言，人臉識別技術在提升金融服務便捷性的同時，存在一些應用風險，在某些時候這種風險還非常大。

　　一是信息泄露風險。人臉特征具有唯一性，與人類生命相伴而生，不法分子可通過遠程、非接觸方式，在商場、旅館、飯店、街道等公共場所非法批量獲取用戶人臉信息，導致基于人臉特征的身份認證系統(tǒng)可被輕易繞過，危害程度較大。

　　二是假體攻擊風險。人臉識別技術難以判斷識別對象是否為真實活體，不法分子通過照片、視頻、高仿面具等手段，仿冒用戶人臉進行2D或3D攻擊。雖然現(xiàn)在活體檢測技術水平已經(jīng)大大改進，但道高一尺魔高一丈，隨著人工智能、大數(shù)據(jù)等技術不斷發(fā)展演進，新型攻擊手段不斷出現(xiàn)，對用戶資金安全造成潛在威脅，不容忽視。

　　三是算法漏洞風險。目前，活體檢測、人臉識別算法仍在快速迭代，識別通過率、誤識率等關鍵指標相互關聯(lián)、難以同時兼顧，且隨光照、遮擋等外界環(huán)境因素干擾較大，可能存在隱藏的未知漏洞，一旦被不法分子發(fā)現(xiàn)并加以利用，易導致活體檢測或人臉識別失效，造成系統(tǒng)性風險。

　　當下，一些金融機構和支付機構自以為掌握了一些技術，在應用人臉識別技術的時候，更多考慮用戶體驗，而未充分評估和防范其中的風險。這種不審慎的行為，給金融業(yè)務埋下了風險隱患。眾所周知，人臉普遍暴露在商場、旅館、飯店、街道等各種公共場所，過度的便捷已給不法分子帶來可乘之機。

　

　　無論是人民銀行發(fā)布的《金融科技發(fā)展規(guī)劃（2022-2025年）》，還是銀保監(jiān)會發(fā)布的《關于銀行業(yè)保險業(yè)數(shù)字化轉型的指導意見》，都對堅守安全底線、防范技術風險提出明確要求。由于互聯(lián)網(wǎng)的虛擬化、金融服務的數(shù)字化、參與主體的多樣化，金融科技風險呈現(xiàn)蔓延速度快、隱蔽性強、潛伏期長、外溢效應明顯等特點，金融機構在敏感信息保護、客戶資金安全等方面面臨較大壓力。因此，總體而言，無論是商業(yè)銀行還是其他機構，在應用人臉識別技術時，應把安全性放在第一位，以最嚴格的標準審慎對待，在確保安全的前提下合理應用。從技術的層面看，應采取多方面措施保障人臉識別技術安全應用。

　　一是數(shù)據(jù)脫敏。在獲取用戶充分授權前提下采集用戶人臉特征信息，利用標記化等技術對采集的用戶人臉特征原始信息進行脫敏處理，并通過不可逆加密技術將轉換后的信息進行加密，保障用戶人臉特征數(shù)據(jù)傳輸、存儲的安全性，實現(xiàn)用戶人臉特征敏感信息的可靠保護。

　　二是隱私計算。借助可信執(zhí)行環(huán)境（TEE）、安全多方計算（MPC）等技術手段，在不歸集、不共享原始數(shù)據(jù)的前提下，完成對人臉特征信息的安全處理，僅向外提供脫敏后的計算結果，確保人臉特征數(shù)據(jù)在使用、處理和流轉過程中不發(fā)生泄露，有效解決數(shù)據(jù)隱私保護和高效處理流通之間的矛盾。

　　三是分散存儲。將用戶人臉信息與姓名、電話等關聯(lián)性較高的敏感信息進行安全隔離、分散存儲，達到差分隱私的目的，保證攻擊者無法通過部分數(shù)據(jù)推斷出其他隱私信息，降低敏感數(shù)據(jù)集中存儲帶來的隱私泄露風險。

　　金融管理部門應加快出臺并不斷完善包括人臉識別在內的生物識別技術在金融領域的應用規(guī)范、技術標準等，推動各類參與主體提高認識，共筑金融安全防線。金融機構應正確把握安全與發(fā)展、風險與創(chuàng)新的關系，認真落實相關要求，確保新技術、新產(chǎn)品安全合規(guī)，并在充分告知風險的情況下為消費者提供多種選擇。如果由于新技術不當應用給金融消費者帶來損失，金融機構應主動承擔相應的責任。金融消費者要全面看待技術創(chuàng)新和應用，增強識別和防范詐騙的意識和能力，并妥善保護好個人敏感信息，降低信息泄露風險，守護好“錢袋子”安全。

　　（作者董希淼 系中關村互聯(lián)網(wǎng)金融研究院首席研究員）