银行接口对实名制的利用校验，比大多数人想象的银行要松。去年冬天我帮朋友排查一个支付通道的接口问题，意外发现某城商行的上实II类户开户接口，在特定参数组合下可以绕过人行联网核查。名制这不是漏洞个例，是利用系统性缝隙。

具体怎么操作？银行简单说，银行给第三方支付公司或电商平台开放的接口API，通常分两种：一种强制四要素（姓名、上实身份证、名制银行卡、漏洞手机号）全匹配；另一种只校验姓名和身份证号，利用手机号和银行卡号不交叉验证。银行问题出在第二种。接口你拿一个真实姓名和对应身份证号，再随便填一个未实名的手机号，系统照样返回“验证通过”。

我试过。用亲戚的身份证信息（已获授权），配上刚买的未实名流量卡，在某股份行的直销银行接口上连续开了三个II类户。每个户的绑定卡都不同，有工行、建行、招行的。银行后台没触发任何风控。这三个户当天就能收款、转账，单日限额一万。一万不多，但批量呢？

黑产早就在用这套。他们不直接攻击银行核心系统，那太蠢。他们找的是银行外包给聚合支付公司的“代理开户”接口。这些接口为了冲业绩，往往把风控阈值调到最低。一个身份证号可以关联几十个手机号，每个手机号开一个户。户与户之间资金互转，绕开了一类户的严格监管。去年广东警方破获的一个跑分团伙，就是用某农商行的接口，三个月开了两万多个II类户。涉案流水七个亿。

为什么堵不住？银行说接口是给合规商户用的，商户说我们只是调接口，不知道用户会造假。责任在谁？没人认。更麻烦的是，这些II类户能绑定微信支付宝。你开完户，直接绑到自己的微信上，消费、发红包、还信用卡，跟正常卡没区别。银行看到的只是一个“正常”的II类户在活动，除非这个户被标记为涉案，否则不会主动查。

有个做风控的朋友告诉我，他们内部测试过：用一张买来的身份证正面照片（不用手持），加上一个能接收短信的虚拟号，通过某国有大行的开放平台接口，成功率超过六成。失败的四成里，大部分是因为身份证照片模糊，不是系统识破了。他说这话时在抽烟，烟灰掉在键盘上，他没擦。

监管不是没动作。人行2019年就要求II类户必须绑定本人I类户验证。但执行层面，很多银行把“验证”做成了“记录”——你填个I类户卡号，系统只查这个卡号是否存在，不查持卡人是否和开户人一致。这就等于没验。我试过用A的身份证开II类户，绑B的I类户，照样通过。

更隐蔽的是“睡眠户”激活。有些银行为了完成开户指标，会预生成一批未实名的II类户，存在数据库里。等有人用接口激活时，只补录姓名和身份证号，不重新做人脸识别。这批户的初始状态是“待激活”，风控等级最低。激活后直接能用。去年浙江某城商行被罚，就是因为这个。罚了四十万。对他们来说，九牛一毛。

普通人能做什么？别觉得这事离你远。你丢过的身份证复印件，可能正在某个接口上跑。查一下自己名下有没有不知道的II类户，去人行征信中心官网，或者云闪付APP的“一键查卡”。我查了，多出两个。一个是2018年在某股份制银行开的，我完全没印象。另一个是2020年，开户行在东北，我从没去过。

销户很麻烦。要打客服电话，要提供手持身份证照片，要等七个工作日。客服还会问你：“您确定要销吗？这个户没有欠款。”好像我该感谢他们帮我开了个户似的。

接口漏洞不是技术问题，是利益问题。银行要开卡量，支付公司要流水，黑产要通道。三方各取所需，只有实名制被晾在一边。哪天你发现自己的身份证被开了户，别惊讶。它可能已经开了很久了。

(责任编辑：知识)