支付安全题库及答案解析

第第PAGE\MERGEFORMAT1页共NUMPAGES\MERGEFORMAT1页支付安全题库及答案解析（含答案及解析）姓名：科室/部门/班级：得分：题型单选题多选题判断题填空题简答题案例分析题总分得分

一、单选题（共20分）

1.在支付交易过程中，以下哪项措施不属于动态风险控制手段？（）

A.设定交易限额

B.实名认证

C.设备指纹验证

D.交易短信验证码确认

2.根据中国人民银行《非银行支付机构网络支付业务管理办法》，个人支付账户分为几类？（）

A.2类

B.3类

C.4类

D.5类

3.以下哪种加密算法属于对称加密？（）

A.RSA

B.AES

C.ECC

D.SHA-256

4.在PCIDSS合规性评估中，“日志记录与监控”属于哪一级别要求？（）

A.预检查阶段

B.主评估阶段

C.后续监督阶段

D.临时评估阶段

5.以下哪种支付场景最容易触发银行的风控系统？（）

A.小额高频交易

B.大额一次性交易

C.定期自动扣款

D.生日当天交易

6.若用户银行卡被盗刷，持卡人需在多少小时内联系银行挂失才能免除部分责任？（）

A.2小时

B.4小时

C.6小时

D.8小时

7.在3DSecure认证流程中，发卡行通过什么方式验证持卡人身份？（）

A.交易密码

B.动态口令

C.证书验证

D.设备绑定

8.根据国家反诈中心数据，以下哪种支付方式是电信诈骗最常用的手段？（）

A.微信支付

B.支付宝

C.网银转账

D.现金支付

9.在PCIDSS12条要求中，“漏洞管理计划”属于哪一项？（）

A.访问控制

B.传输保护

C.安全网络架构

D.漏洞管理

10.若支付系统发生数据泄露，根据《网络安全法》，运营者需在多少小时内向网信部门报告？（）

A.12小时

B.24小时

C.36小时

D.48小时

11.在移动支付风险防控中，“设备绑定”的主要作用是什么？（）

A.提高交易效率

B.降低欺诈风险

C.优化用户体验

D.减少商户成本

12.根据银联《支付安全风险防控指南》，以下哪项属于“洗钱”行为？（）

A.多笔小额交易合并

B.虚构交易流水

C.跨境汇款

D.定期自动扣款

13.在支付渠道风控中，“地理位置异常”属于哪类风险指标？（）

A.行为风险

B.设备风险

C.交易风险

D.账户风险

14.以下哪种支付方式支持“可撤销交易”功能？（）

A.微信红包

B.支付宝余额支付

C.银行卡快捷支付

D.信用卡分期付款

15.在PCIDSS评估中，商户需定期对系统进行渗透测试，频率一般是多久？（）

A.每年一次

B.每半年一次

C.每季度一次

D.每月一次

16.若支付接口返回“商户证书过期”错误，商户应如何处理？（）

A.强制用户重新绑定支付账户

B.联系支付机构更换证书

C.暂停该商户的支付功能

D.告知用户交易失败

17.根据央行《条码支付业务规范》，小额免密支付的单笔限额是多少？（）

A.50元

B.100元

C.200元

D.500元

18.在支付系统日志中，“交易状态码”主要用于记录什么信息？（）

A.用户IP地址

B.交易是否成功

C.设备型号

D.商户类别

19.若用户在支付过程中点击“取消”按钮，系统应如何处理？（）

A.强制完成交易

B.返回主页面

C.记录失败日志

D.联系用户确认

20.根据银联《反欺诈白皮书》，以下哪种行为属于“撞库”攻击？（）

A.利用设备ID伪造交易

B.通过暴力破解密码

C.盗取商户密钥

D.利用API接口漏洞

二、多选题（共15分，多选、错选不得分）

21.支付系统常见的加密算法包括哪些？（）

A.DES

B.RSA

C.MD5

D.AES

22.PCIDSS合规性评估的检查项通常包括哪些？（）

A.网络隔离措施

B.数据加密标准

C.人员权限管理

D.漏洞扫描频率

23.防止支付信息泄露的常见手段有哪些？（）

A.数据脱敏

B.磁道保护

C.设备指纹验证

D.动态令牌

24.支付渠道风控中，“交易频率异常”可能由哪些因素导致？（）

A.恶意脚本攻击

B.用户操作失误

C.商户批量测试

D.系统缓存超时

25.根据央行《个人金融信息保护技术规范》，以下哪些行为属于违规操作？（）

A.将客户银行卡号用于内部测试

B.通过邮件传输交易流水

C.对敏感信息进行加密存储

D.定期清理操作日志

26.支付系统日志通常包含哪些信息？（）

A.交易时间戳

B.用户MAC地址

C.密钥使用记录

D.错误码

27.3DSecure认证流程的主要参与者包括哪些？（）

A.持卡人

B.收单机构

C.发卡机构

D.支付网关

28.支付渠道常见的网络攻击类型有哪些？（）

A.SQL注入

B.XSS跨站

C.重放攻击

D.中间人攻击

29.银行风控系统常用的规则包括哪些？（）

A.交易金额限制

B.地理位置黑白名单

C.设备异常检测

D.交易时间限制

30.根据银联《反欺诈白皮书》，以下哪些属于新型支付风险？（）

A.AI换脸诈骗

B.虚拟货币洗钱

C.二维码盗刷

D.供应链金融诈骗

三、判断题（共10分，每题0.5分）

31.支付账户实名认证可以有效防止洗钱行为。（）

32.PCIDSS合规性要求适用于所有类型的企业。（）

33.对称加密算法的密钥长度通常大于非对称加密。（）

34.交易短信验证码属于动态风险控制手段。（）

35.支付系统日志可以用于审计和事后追溯。（）

36.银行卡CVV码属于静态验证信息。（）

37.3DSecure认证会增加商户的支付手续费。（）

38.支付渠道风控主要依赖人工审核。（）

39.《网络安全法》规定，数据泄露后需在12小时内通知用户。（）

40.设备指纹验证可以有效防止设备盗刷。（）

四、填空题（共10分，每空1分）

41.支付系统通常采用______和______两层加密机制保护敏感数据。

42.PCIDSS12条要求中，“______”是指对存储、传输、处理卡信息的环境进行安全隔离。

43.3DSecure认证流程主要包括持卡人身份验证、______和发卡行授权三个阶段。

44.支付渠道风控中，“______”指的是通过设备ID、IP地址、浏览器指纹等信息识别用户行为。

45.根据《个人信息保护法》，支付机构需在______内删除用户非必要的交易记录。

五、简答题（共20分）

46.简述PCIDSS合规性评估的四个等级划分标准。

47.支付系统如何通过“设备指纹”技术识别风险？

48.若发现支付接口返回“商户证书过期”错误，商户应如何处理？

49.结合实际案例，分析支付信息泄露的常见原因及防范措施。

六、案例分析题（共25分）

50.案例背景：某电商平台在推广“双十一”活动期间，部分用户反馈支付过程中频繁出现“系统超时”错误，导致订单无法完成。经排查，发现该问题主要发生在交易金额较大的订单中，且集中在特定地区的用户。

问题：

（1）分析该问题可能的原因有哪些？

（2）提出至少三种解决方案，并说明依据。

（3）总结该案例对支付系统运维的启示。

参考答案及解析

一、单选题

1.D解析：短信验证码属于静态验证手段，其他选项均为动态风控措施。

2.C解析：根据《非银行支付机构网络支付业务管理办法》，个人支付账户分为四类（Ⅰ类、Ⅱ类、Ⅲ类、Ⅳ类）。

3.B解析：AES是对称加密算法，其他选项均为非对称加密或哈希算法。

4.B解析：PCIDSS主评估阶段包括12条要求的具体检查，预检查阶段为准备阶段。

5.B解析：大额交易更容易触发银行风控系统，属于异常交易模式。

6.C解析：根据银联《个人账户盗刷处置规范》，持卡人需在6小时内联系银行挂失。

7.C解析：3DSecure通过证书验证持卡人身份，其他选项为静态验证手段。

8.C解析：电信诈骗常用网银转账，便于快速转移资金且难以追踪。

9.D解析：“漏洞管理计划”属于PCIDSS第11条要求。

10.B解析：根据《网络安全法》，重要数据泄露需在24小时内报告网信部门。

11.B解析：设备绑定通过绑定特定设备降低欺诈风险，其他选项非主要作用。

12.B解析：虚构交易流水属于洗钱手段，其他选项为正常交易行为。

13.A解析：“地理位置异常”属于行为风险指标，如用户在境外突然交易。

14.C解析：银行卡快捷支付支持可撤销交易（需银行配合），其他选项不支持。

15.A解析：PCIDSS要求商户每年至少进行一次渗透测试。

16.B解析：商户应联系支付机构更换证书，其他选项错误操作。

17.C解析：根据《条码支付业务规范》，小额免密支付单笔限额200元。

18.B解析：交易状态码记录交易是否成功，其他选项非主要功能。

19.B解析：用户点击“取消”应返回主页面，其他选项错误操作。

20.B解析：撞库攻击通过暴力破解密码，其他选项非撞库手段。

二、多选题

21.ABD解析：DES、RSA、AES是常见加密算法，MD5属于哈希算法。

22.ABCD解析：PCIDSS检查项包括网络隔离、数据加密、权限管理、漏洞扫描等。

23.ABCD解析：数据脱敏、磁道保护、设备指纹、动态令牌均属防泄露手段。

24.ABD解析：恶意脚本、操作失误、系统缓存超时可能导致交易频率异常。

25.ABD解析：违规操作包括泄露客户信息、非必要传输敏感数据、日志清理不当。

26.ABD解析：交易时间戳、MAC地址、错误码属日志常见信息，密钥记录非必要。

27.ABCD解析：3DSecure参与者包括持卡人、收单机构、发卡机构、支付网关。

28.ABCD解析：SQL注入、XSS跨站、重放攻击、中间人攻击均属常见网络攻击。

29.ABCD解析：银行风控规则包括金额限制、地理位置、设备检测、时间限制等。

30.ABCD解析：AI换脸、虚拟货币洗钱、二维码盗刷、供应链金融诈骗均属新型风险。

三、判断题

31.√解析：实名认证可有效识别用户身份，降低洗钱风险。

32.×解析：PCIDSS仅适用于处理卡信息的企业，非所有企业。

33.×解析：对称加密密钥长度通常小于非对称加密。

34.√解析：短信验证码属于动态验证手段。

35.√解析：日志可用于审计和追溯交易问题。

36.√解析：CVV码是静态验证信息，其他验证方式动态。

37.√解析：3DSecure增加商户手续费，属于行业共识。

38.×解析：风控主要依赖系统规则，人工审核仅辅助。

39.×解析：《网络安全法》要求通知用户，而非网信部门。

40.√解析：设备指纹可绑定用户行为，防止盗刷。

四、填空题

41.对称加密、非对称加密

42.安全网络架构

43.支付网关授权

44.设备指纹

45.30天

五、简答题

46.答：

①Level1：年交易额超过1000万或处理卡数超过10万张。

②Level2：年交易额100万-1000万或处理卡数1万-10万张。

③Level3：年交易额10万-100万或处理卡数1000-1万张。

④Level4：年交易额低于10万或处理卡数低于1000张。

解析：依据PCIDSS官方分级标准。

47.答：

①设备指纹通过收集设备ID、操作系统、浏览器信息等，建立用户行为模型。

②异常检测包括地理位置异常（如境外交易）、设备型号突变（如更换手机）、行为模式偏离（如输入速度异常）。

解析：结合风控系统实际应用。

48.答：

①立即停止该商户的支付功能，防止资金损失。

②联系支付机构申请更换证书，确保证书有效性。

③通知商户重新配置支付环境，避免证书泄露。

解析：依据PCIDSS第12条要求。

49.答：

常见原因：

①系统漏洞（如SQL注入导致数据库泄露）；

②内部人员违规操作（如拷贝客户数据）；

防范措施：

①定