虚拟卡安全基础：用 PCI DSS 思路保护支付凭据

虚拟卡没有实体载体，但卡号、有效期和安全码仍是敏感支付信息。把卡片复制到聊天工具、工单、截图或共享表格，会扩大可访问人员和系统范围。PCI DSS 面向存储、处理或传输支付账户数据的机构，为商户和服务商提供安全基线；个人与企业也可以借鉴最小收集和最小暴露原则。

先识别哪些数据敏感

完整主账号、有效期、持卡人信息和交易数据需要按业务与合规要求保护。卡片安全码属于敏感认证数据，PCI SSC 明确说明在特定交易授权完成后不得保存，即使加密也不能作为继续留存的理由。

不要在客服工单、内部知识库、浏览器笔记、日志或报销附件中记录完整安全码。截图前要主动遮挡卡片凭据。

坚持最小收集与最小权限

如果业务只需要卡片末尾标识、订单号和金额完成对账，就不要保存完整卡号。只有经过授权的支付管理员才能查看必要凭据，财务审核人员可以使用脱敏交易信息。共享账号会让责任无法追溯，应为每位管理员配置独立身份和多因素认证。

企业还应定期复核权限，员工调岗或离职时立即撤销访问。

安全输入与传输检查

• 只在确认无误的官方商户域名输入卡片。
• 检查加密连接，但不把 HTTPS 等同于商户一定可信。
• 禁用来源不明的浏览器扩展和远程控制软件。
• 不通过普通邮件或即时聊天传递完整凭据。
• 对支付页面异常跳转和域名拼写保持警惕。
• 付款后保存订单信息而非卡片安全码。

日志与对账要脱敏

应用日志、客服日志和财务导出只保留完成调查所需字段。开发测试应使用支付服务提供的正式测试环境和测试凭据，绝不能用真实卡进行卡测试。发生错误时记录时间、商户、金额、币种、订单号和脱敏卡片标识即可。

定期搜索文档仓库、工单和日志中是否意外出现支付凭据，并按事件响应流程清理和轮换。

供应商与系统检查清单

1. 哪些系统会接触卡片数据，责任人是谁。
2. 是否真正需要保存完整主账号。
3. 安全码能否在授权后被彻底删除。
4. 数据传输、备份和导出是否受控。
5. 访问、导出和限额变更是否有审计日志。
6. 外部服务商的合规责任如何确认。

合规使用仍是前提

技术保护不能让违规用途变得合法。卡片必须依法签发并由本人或企业授权使用，身份、企业和账单信息必须真实，且遵守 KYC、地区、制裁、商户与币种要求。禁止出售凭据、批量账号、匿名代付、套现和拒付滥用。PCI DSS 不是支付成功保证，也不能替代发卡方协议和当地法律。