近日，央行发布《中国人民银行关于进一步加强银行卡风险管理的通知》（下简称《通知》）。《通知》提出“自2017年5月1日起，全面关闭芯片磁条复合卡的磁条交易”，并要求商业银行加快存量磁条卡更换为金融IC卡的进度。
同时，央行要求各商业银行、支付机构、卡清算机构加强对支付敏感信息的内控管理和安全防护工作，要求年底必须采用支付令牌化技术，以及多因素身份验证。
《通知》明确要求：自2016年12月1日起，各商业银行、支付机构应使用支付标记化技术，对银行卡卡号、卡片验证码、支付机构支付账户等信息进行脱敏处理，并通过设置支付标记的交易次数、交易金额、有效期、支付渠道等域控属性，从源头控制信息泄露和欺诈交易风险。
据介绍，与传统基于卡号的交易传递过程相比，支付标记化方案替代了原始卡号和有效期，根本上杜绝了敏感信息泄露的可能。
同时，通过域控属性限定交易场景，如交易类型、使用次数、交易金额、有效期、支付渠道、商户名称等，即便支付标记本身被泄露，其影响范围也大大降低。此外，收单机构还可以借助支付标记的担保级别实现对交易风险的控制，进一步降低风险。
《通知》规定，自2016年11月1日起，各商业银行在基于银行卡与商业机构支付机构建立关联联系时，应严格采用多因素身份验证方式，直接鉴别客户身份，并取得客户授权。有业内人士指出，这主要是指快捷支付。快捷支付没有验证银行卡密码，并不需要U盾、口令或网银，安全隐患较大。
《通知》指出，前述关联业务的身份鉴别应采取以下组合方式之一：一是采用符合《金融电子认证规范》的数字证书，并组合交易密码等至少一种认证因素；二是采用符合《动态口令密码应用技术规范》的动态令牌设备，并组合交易密码等至少一种认证因素；三是至少组合两种动态认证因素（如动态验证码、基于客户行为的动态挑战应答等），并采用语音、短信数据(如手机银行、即时通讯、邮件)等至少两种不同的通信渠道。
值得关注的是，此次《通知》亦强调对违规支付行为从严处罚。《通知》要求严格落实各项银行卡支付的有关规定，加大督察处罚力度。对于违规行为将从严处罚，对于违规情节严重的支付机构，还将按照有关规定调低分类评级机制，直至注销《支付业务许可证》。
业内人士表示，在此规定下，支付机构需要额外增加新的验证手段，快捷支付或将变得不快捷。
