为什么 FLOW 从不索要您的网银登录信息，以及为什么值得质疑那些索要的应用

没人讲清楚的取舍

开放银行受监管且只读，本文不会假装事实并非如此。取舍在于更细微的层面：

• 您的数据换了管辖方。 交易数据一旦离开银行，就受应用的隐私政策约束，而不是银行的。两份文件，动机截然不同。
• 中间通常有一个中间商。 许多应用并不自己连接您的银行，而是使用数据聚合商，在您和您的账户之间多了一家您从未点名选择的公司。
• 授权比注意力更持久。 撤销授权的管理面板确实存在，但很少有人能不查看就列出当前连接到自己账户的所有服务。

当访问出问题时：一堂 5800 万美元的课

2022 年，美国联邦法院批准了与 Plaid 的 5800 万美元集体诉讼和解。Plaid 是将 Venmo、Robinhood 等应用连接到用户银行的聚合商。诉讼指控 Plaid 收集了超出应用所需的金融数据，并使用看起来像用户银行界面的登录页面，而凭证实际流向了 Plaid。Plaid 在不承认不当行为的情况下达成和解，并同意删除某些数据、最小化未来的收集（Courthouse News Service 与 Bloomberg Law 于 2022 年报道）。

教训不在于聚合商是坏人，而在于结构：持续的访问权限加上中间商的位置，会产生收集超出任务所需数据的诱惑。唯一永远不会被过度使用的访问权限，是从未授予的权限。

真正的危险信号：在应用自己的页面里输入网银密码

受监管的开放银行有一个看得见的安全特性：您是在自己的银行完成身份验证的，在银行自己的应用或页面里，理财应用永远看不到您的密码。

因此这里有一个简单的测试。如果任何应用要求您把网银登录信息直接输入到它自己的表单里，请停下。这是凭证共享，即监管出现之前被称为屏幕抓取的技术，而您银行的条款几乎必然规定登录凭证严格属于个人。在做这件事之前，请先查阅条款。

仅使用对账单的工具消除了这整类风险：没有登录环节，就没有什么可被钓鱼、仿冒、存储或泄露。

仅凭对账单的分析如何运作：一个模型示例

以下是一个模型示例，为展示机制而虚构，并非真实用户数据。两位邻居使用同一家银行，都想知道自己的钱去了哪里。

• Marta 通过开放银行连接了一个应用。 通过其聚合商，该应用现在可以读取她的交易历史和每一笔新交易，直到授权到期或她想起来去撤销。处理发生在服务商的服务器上。
• Jonas 从银行下载了七月的对账单，一份他本可以打印出来的 PDF 文件，然后上传进行分析。分析看到的正是他选择的那 31 天，止于他指定的时刻，此后他账户上发生的一切都不可见。

三条边界各不相同：范围（选定的一个月对比持续的数据流）、方向（他主动发送一个文件对比应用主动拉取数据）、处理位置（在 FLOW 的情形下，文件在他自己设备的浏览器中解析）。同一个问题，暴露程度截然不同。

问任何理财应用的五个问题

您不需要懂技术。用平实的话问出这些问题，观察对方回答得有多直接：

• 我是在我的银行验证身份，还是在你们的页面上输入密码？
• 你们的访问权限持续多久，我具体在哪里撤销？
• 你们和我的银行之间隔着哪些公司？
• 我的交易数据在哪里处理和存储？
• 我停止使用后，我的数据会怎样？

诚实的产品每个问题都能用一句话回答。含糊的回答本身也是一种回答。

亲自试试无登录的方式

这个模式是可验证的，而不是靠信任维系的。在 app.vestelonflow.com 上传一份对账单：分析在您的浏览器中运行，大约一分钟就能看到自己的数字，无需账户、无需网银登录，未经您的同意没有任何数据离开您的设备。如果您想更深入地对比这两种方式，我们在开放银行与上传对账单的对比一文中做了并排分析。

常见问题

开放银行不安全吗？ 不是。它受监管、只读，并且在您的银行完成验证。问题不在安全性，而在范围：一个持续运行的工具或许有理由保持长期连接，而一份报告或一次分析只需要一份对账单。让访问权限与任务相匹配。

应用能通过开放银行权限偷钱吗？ 账户信息访问是只读的。发起付款需要单独的授权和单独的身份验证。现实的风险不是被盗，而是有多少数据流出以及之后如何被处理。

如果我的对账单里有不想分享的条目怎么办？ 这正是优势所在：文件和月份都由您选择，上传前您可以打开它逐行阅读，这是实时数据流永远做不到的。