日本退稅要給信用卡安全碼CVC！台灣人嚇壞　資安專家：其實還好

日本免稅新制在11月1日正式上路後，台灣人到日本血拼已經無法直接在原商店用未稅價結帳，而是改為「先付後退」，但民眾卻發現多個退稅平台要求輸入「信用卡安全碼」（CVV、CVC），掀起一波資安恐慌。台灣數位安全發展協會理事長劉彥伯認為，「CVC若只是單次輸入其實還好」，並不是給出CVC就容易外洩，也不是免填CVC的系統就絕對安全。

日本退稅要輸入信用卡安全碼CVV！台灣旅客嚇壞

台灣旅客驚覺在日本辦理退稅時，登記退款信用卡竟需要輸入CVV、CVC這類信用卡驗證碼，眾人不解只是收退款、不是要消費，為何需交出信用卡CVC安全碼，質疑潛藏資安風險、直呼程序「完全不合理」。

目前日本4大退稅系統，僅Global Blue只需信用卡號、到期日，而其他退稅系統J-TaxRefund、PIE VAT、JPrefund，則是信用卡號、到期日、安全碼（CVV、CVC）都要全給，真的安全嗎？

退稅交出CVC很危險？資安專家：單次驗證「其實還好」

台灣數位安全發展協會理事長劉彥伯解釋，信用卡驗證碼CVC若只是單次輸入「其實還好」，現今信用卡大多已不只是一次驗證，用戶交出信用卡號、到期日、姓名、CVC（安全碼），只是一次驗證使用的資訊。

現在的信用卡號會包含二次驗證，例如OTP（One-Time password，一次性密碼）、APP驗證器，換句話說，不是只靠安全碼CVC就可以，還需要用戶接收動態生產的一次性密碼，或者開啟APP執行雙重驗證。劉彥伯說明：「不能說這樣就安全了，但並不會交出CVC就這麼容易外洩。」

其次也和稽核有關，日本政府對退稅單位的資安都有一定程度的要求，而Global Blue雖然不需要輸入CVC，但之前也曾發生過資安問題，「即使今天沒有索取用戶CVC，也並不代表就是絕對安全。」

專家曝信用卡自保方法：善用銀行APP鎖卡

上述差別只是在於有沒有給CVC，劉彥伯強調，「當然資訊提供越少越安全」，但目前台灣在信用卡驗證方面已經有很多鎖定方式，像是銀行APP就能直接設定，開啟或關閉信用卡的境外交易、線上交易功能，平常用不到建議關起來。很多國家並沒有這類信用卡鎖定服務，台灣民眾可以善用這些功能，做好信用卡安全控管。

辦一張「退稅專用」低額度信用卡？專家：不如挑高回饋

至於有人提出建議，可以準備一張平常少用、「退稅專屬」的低額度信用卡，這樣被外洩盜刷時可將傷害降至最低。劉彥伯笑說，與其如此，不如去找一張「出國回饋比較高」的信用卡更實在。

劉彥伯解釋，如果二次驗證不是自己外洩出去，也就是信用卡號、CVC是「被盜、被外洩」，銀行就會賠款，反而高額度信用卡的賠償機制更好。

最怕不是CVC外洩！OTP、APP驗證碼絕不能交出去

劉彥伯坦言，「現在這種一次驗證，老實講駭客也偷很多了」，大眾更需要注意的是：「自己的二次驗證千萬不能給出去。」若是自己將二次驗證的OTP（一次性密碼）或APP的驗證碼外洩出去，銀行就不會理賠，因此絕對不能將OTP密碼、APP驗證碼交給任何人，只要是自己給出去，銀行就不賠。

至於為何退稅系統需要輸入CVC安全碼，確實可能是廠商節省時間成本，沒有為了退稅另外開發獨立的單向匯款系統；也可能和日本金融法規定有關，第三方支付公司做退稅服務的話，綁CVC刷1元目的是要雙重驗證、做KYC，驗證「你是本人」，相對是比較嚴謹的作法。