微信支付刷脸核身，要看屏幕共享状态了

微信支付刷脸核身，盯上屏幕共享。

财付通《刷脸核身服务协议》迎来新一轮修订，设备状态信息被纳入刷脸核身风控场景。

支付之家注意到，财付通支付科技有限公司近日发布关于修订《刷脸核身服务协议》的公告。新版协议最新修改日期为2026年6月15日，生效日期为2026年7月15日。

这次修订最明显的变化，是刷脸核身不再只围绕人脸信息本身展开，而是进一步写入设备类型信息、设备状态信息。其中，协议明确举例称，财付通可能收集用户设备是否开启屏幕共享的状态信息，以核实确认是否存在通过屏幕共享方式进行的非本人操作、远程操作风险。

刷脸核身正在从单点身份验证，延伸到操作环境核验。

屏幕共享被写进了刷脸核身协议，它对应的是支付反诈场景的变化。

过去，刷脸核身更多解决的是“是不是本人”的问题。用户办理微信支付相关业务，发出账户资金管理、账户密码管理、账单管理、银行卡管理、信息授权等操作指令，或者平台履行实名制管理、反洗钱、反恐怖主义融资管理、风险管理、商家信息核验等义务时，需要通过人脸比对确认用户身份。

但近几年支付风险形态已经发生变化。很多风险场景中，账户本人确实在场，手机也在本人手里，刷脸动作也由本人完成。问题出在操作过程已经被外部话术影响，甚至处于屏幕共享、远程指导、远程控制等异常环境中。

在屏幕共享诈骗中，真正被挑战的不是“是不是本人”，而是“本人操作是否代表本人真实意愿”。

诈骗分子不一定需要盗取账户，也不一定需要冒充用户本人。他们可能通过冒充客服、平台审核人员、执法人员、金融机构工作人员等身份，以账户异常、征信修复、退款理赔、取消扣费等名义，诱导用户开启屏幕共享，随后一步步引导用户打开支付账户、查看银行卡、输入密码、接收验证码、完成刷脸或确认授权。

在这种场景下，刷脸通过不等于风险通过。人脸是真的，设备是真的，操作也可能由本人完成，但交易意图可能已经被他人操纵。

财付通把这一设备状态写入协议，指向的正是远程操作和非本人真实操作风险。

刷脸核身需要识别的不只是镜头前的人，还包括这次刷脸发生在什么样的设备环境中。尤其是在涉及账户资金、银行卡管理、信息授权、业务开通等高风险操作时，屏幕共享状态本身就是一个值得被风控系统识别的异常变量。

这一点不能被误读。

协议写明的是“设备是否开启屏幕共享的状态信息”，并非收集用户屏幕内容。前者是对设备状态的风险识别，后者涉及更敏感的内容信息，两者不能混同。

屏幕共享之外，新版协议还细化了人脸信息范围。

2025版协议中，用户授权财付通采集并保存“脸部信息”。2026版进一步明确，脸部信息包括人脸照片、包含用户脸部信息的活体检测视频，以及基于人脸图像或视频提取的人脸特征值信息。

与此同时，2026版删除了此前“你应确认你已通过实名认证”的表述，相关条款更聚焦于财付通仅使用用户本人的脸部信息为本人办理相关业务。

刷脸核身协议的告知颗粒度，由此变得更细。

人脸照片通常用于身份比对，活体检测视频通常用于判断是否为真实活体，人脸特征值信息则是生物识别比对中的关键数据。

把这些信息类型写清楚，有助于用户理解刷脸核身过程中到底会涉及哪些信息，也有助于支付机构进一步明确自身的信息处理边界。

设备状态信息的加入，则让刷脸核身承担了更多交易风险识别功能。

按照新版协议，为保障刷脸核身结果的真实性、准确性及安全性，识别、防范非本人操作、冒用身份、远程控制、恶意程序攻击、黑灰产欺诈等风险，维护用户账户安全、资金安全及交易安全，财付通可在用户使用服务过程中，根据实际核身场景和风险控制需要，处理与使用服务相关的设备类型信息、设备状态信息。

新版协议列出的风险类型，已经超出了传统身份冒用范畴。

非本人操作、冒用身份，属于传统身份核验要解决的问题。远程控制、恶意程序攻击、黑灰产欺诈，则更接近当下支付反诈和账户安全面临的新型风险。屏幕共享只是协议举出的例子，设备状态信息的价值在于帮助识别远程控制、恶意程序攻击、异常操作环境等风险。

设备状态信息的意义，不在于单个屏幕共享状态，而在于把用户操作环境纳入核身判断。

刷脸核身的风控重心正在从身份比对，转向身份、设备和场景的综合判断。

对支付机构来说，这是风控前移的一种体现。

过去，一些风险识别可能发生在交易发起后、资金流转中或异常交易监测环节。现在，风控动作正在前移到核身环节。用户准备进行敏感操作时，平台就需要判断当前设备是否存在高风险状态，是否存在被远程指导或被恶意程序影响的可能。

设备状态信息参与核身风控后，协议告知也需要同步跟上。

在具体服务流程中，设备状态信息可能会影响核身流程、风险提示或服务是否继续提供。至于是否提示关闭屏幕共享、是否要求重新核验、是否改用其他验证方式，应以实际页面提示和服务流程为准。

风控边界扩大之后，用户权利安排也需要更清楚。

新版协议提到，用户享有关闭本服务，以及查阅、复制、更正、补充、删除脸部信息等个人信息的权利。如果财付通是基于取得用户同意处理脸部信息等个人信息的，还会保障用户撤回单独同意的权利。

“单独同意”这个表述并不意外。人脸信息属于敏感个人信息范畴，刷脸核身涉及人脸照片、活体检测视频、人脸特征值信息等内容。对这类信息的处理，既要有明确目的和必要性，也要有相应的告知、同意和权利保障安排。

新版协议还新增了与《财付通隐私政策》的衔接规则。协议称，本协议未尽的个人信息处理规则，以《财付通隐私政策》的约定为准；如本协议与《财付通隐私政策》就刷脸核身服务项下个人信息处理事项存在不一致，在不违反法律法规强制性规定的前提下，以本协议的特别约定为准。

这意味着，刷脸核身服务中的个人信息处理，被放在了更具体的专项规则之下。一般个人信息处理规则看隐私政策，刷脸核身场景下的特别规则则看本协议。

这次修订也提醒用户，刷脸核身服务的便利性背后，是身份核验、设备状态识别、账户安全和交易风控共同组成的判断机制。

对普通用户来说，刷脸可能只是打开摄像头、眨眼、转头、完成验证。对支付机构来说，刷脸背后连接的是账户安全、资金安全、交易安全、反洗钱、反诈和黑灰产治理。

尤其是在屏幕共享、远程控制等诈骗手法频繁出现在反诈提示中的背景下，平台不能只看“是不是本人”，还要判断“本人是否处在安全、真实、可控的操作环境中”。

这并不意味着刷脸核身会无限扩大信息处理范围。相反，越是涉及人脸信息、设备状态等敏感内容，支付机构越需要把处理目的、处理范围、使用场景、用户权利和退出机制说清楚。

支付安全升级不能脱离个人信息保护。个人信息保护也不能忽视真实存在的账户盗用、远程操控和资金损失风险。支付机构既要拦住远程操控风险，也要让用户清楚知道，哪些信息会被处理、为什么被处理、怎样行使权利。

财付通此次修订《刷脸核身服务协议》，对应的是支付风险从“冒用账户”向“操纵本人”迁移。

当诈骗分子通过屏幕共享、远程控制和话术诱导，让用户本人完成刷脸、绑卡、授权和转账，刷脸核身就需要识别更多环境变量。

刷脸核身的下一步，要把“识别一张脸”和“识别一次安全操作”放在同一个风控框架里。

屏幕共享状态进入协议，说明支付反诈正在进入更细颗粒度的核身风控阶段。

这里是支付之家。我们关注支付表象之下的规则差异与逻辑变化，提供支付科技领域增量信息。观点内容仅供参考。