之所以进行KYC，一方面是监管要求；另一方面通过手机KYC信息形成用户画像。

趣链科技北京分公司副总张贝龙在接受媒体采访时说道，在传统金融领域，KYC只是一个手段，主要是为了后面的AML（反洗钱），以及CFT（打击恐怖主义融资）。

溪塔科技市场总监孔庆阳表示，之所以实行KYC，一方面是监管要求，保证金融安全；其次，不少公司通过收集KYC信息形成用户画像，如果在KYC信息采集不完整，上层数据分析就无法顺利开展。

据了解，目前KYC收集方式分很多种，比较简单的是身份实名认证，即提供姓名、身份证、银行卡等信息，通过调用银联开放平台或是官方授权的身份数据库接口来进行校验。此外，还有人脸识别、活体检测等。而这些信息要么客户主动上传，要么通过其他平台进行授权获取。

然而，KYC数据收集只是第一步，更重要的是数据核验以及数据存储。PlatON创始人孙立林表示，尽管KYC提升了安全性，规避了机构的经营风险，但是却对用户隐私构成了威胁。

TEEX联合创始人余炀告诉我们，不论是人工审查，还是调用API，用户数据在整个过程中都是暴露的。企业内部员工，甚至是一些低权限的实习生操作员，都可以轻松拿走数据。

而采取外包审查形式，数据出了公司，泄漏风险无疑会变得更大。再加上数据本身极易二次拷贝和沉淀，因此一些不法分子可以非常容易地利用用户隐私数据进行牟利。

站在攻击者的角度保护KYC

目前，市场对于KYC信息最好的保护方式就是将数据的所有权和使用权进行分离，机构通过数据使用权来实现KYC。

余炀告知我们，从攻击者的角度出发，可以从两个方面保护KYC信息。一是防止外部黑客窃取。具体来说，需要加固KYC系统的安全性，最小化软件中的潜在漏洞。二是防止内部恶意员工的信息泄露，需要机构对KYC信息的访问权限进行严格的管控。

TEEX通过TEE技术结合GPU-TEE方案构建了一个可信KYC平台。据余炀介绍，该平台能够将整个自动化KYC过程保护起来。无论是谁都无法接触到验证过程中的KYC信息。对于人工审核，也可以通过可信显示技术，保证在将KYC信息显示给审核员的同时，信息本身不被窃取。

同时，对于调用第三方服务的机构则提供可信KYC服务调用前置机。利用TEE技术，将整个调用第三方服务的逻辑进行保护，包括第三方服务身份的验证、KYC信息的传递以及最终结果的获取。

另外，可信水印技术能够保证信息泄露之后，准确定位泄露主体。

可信KYC审核平台 TEEX提供

技术详解 趣链科技提供