被曝“熟人漏洞” 支付寶無(wú)密碼小額支付遭吐槽

新京報(bào)制圖/高俊夫

新京報(bào)訊 （記者陳鵬 李明）支付寶被曝出現(xiàn)“熟人漏洞”。昨日一大早，有網(wǎng)友稱(chēng)可通過(guò)購(gòu)物驗(yàn)證、好友驗(yàn)證等方式修改他人支付寶登錄密碼。支付寶昨日中午回應(yīng)稱(chēng)已經(jīng)修改，目前僅在用戶(hù)自己的手機(jī)上，才能通過(guò)識(shí)別近期購(gòu)買(mǎi)商品以及識(shí)別本人好友來(lái)找回登錄密碼，通過(guò)其他手機(jī)設(shè)備無(wú)法應(yīng)用這一方式找回登錄密碼。

購(gòu)物識(shí)別、好友識(shí)別漏洞已堵

1月10日上午，有網(wǎng)友聲稱(chēng)發(fā)現(xiàn)“支付寶新漏洞”，“陌生人有5分之一的機(jī)會(huì)登錄你支付寶，熟人有百分之百機(jī)會(huì)登錄你的支付寶”。按其描述，在選擇登錄手機(jī)賬號(hào)時(shí)，選擇忘記密碼，并點(diǎn)擊手機(jī)不在身邊，然后勾選在淘寶中買(mǎi)過(guò)的一件東西，再選擇一位好友圖片進(jìn)行驗(yàn)證，便可以成功登錄。

對(duì)于上述方法，昨日有用戶(hù)在微博上稱(chēng)，用自己手機(jī)去重置朋友的密碼，結(jié)果成功“盜號(hào)”。還有多家媒體稱(chēng)按照該方法實(shí)現(xiàn)了對(duì)熟人支付寶密碼的修改。

臨近中午記者嘗試通過(guò)朋友的手機(jī)登錄自己的支付寶，在輸入手機(jī)號(hào)后選擇重置登錄密碼，期間支付寶會(huì)發(fā)送驗(yàn)證碼信息至登錄手機(jī)號(hào)。但除了電訊校驗(yàn)碼之外，其他找回的方式有“回答安全問(wèn)題”、“刷臉驗(yàn)證”、“驗(yàn)證本人銀行卡信息”、“撥打驗(yàn)證電話(huà)”等四種方式，并未出現(xiàn)購(gòu)買(mǎi)商品驗(yàn)證和好友識(shí)別等程序。

隨后，記者又通過(guò)自己的手機(jī)進(jìn)行上述操作，在好友識(shí)別中，系統(tǒng)則出現(xiàn)了9張人物的圖片，成功勾選“認(rèn)識(shí)的人”便可進(jìn)入購(gòu)物驗(yàn)證環(huán)節(jié)。與上一流程類(lèi)似，在9張商品圖片中勾選用戶(hù)購(gòu)買(mǎi)過(guò)的商品后，成功設(shè)置了新密碼。

支付寶昨日中午通過(guò)官方微博回應(yīng)稱(chēng)，上午已提高風(fēng)控系統(tǒng)的安全等級(jí)，目前僅在用戶(hù)自己的手機(jī)上，才能通過(guò)識(shí)別近期購(gòu)買(mǎi)商品以及識(shí)別本人好友來(lái)找回登錄密碼，通過(guò)其他手機(jī)設(shè)備無(wú)法應(yīng)用這一方式找回登錄密碼。

無(wú)密碼小額支付遭網(wǎng)友吐槽

對(duì)于支付寶出現(xiàn)上述漏洞，昨日引發(fā)網(wǎng)絡(luò)熱議。有網(wǎng)友在支付寶官方微博上評(píng)論，表示“好好做支付寶，別做社交！”至記者截稿該評(píng)論得到了2142個(gè)點(diǎn)擊。對(duì)此評(píng)論，支付寶回應(yīng)稱(chēng)：“你說(shuō)得對(duì)”。

不過(guò)，對(duì)于“熟人漏洞”，支付寶方面表示，僅在特定情況下才會(huì)實(shí)現(xiàn)。“通常情況下，用戶(hù)找回登錄密碼至少需要輸入手機(jī)短信驗(yàn)證碼，對(duì)于部分暫時(shí)無(wú)法收到短信的用戶(hù)或者更換移動(dòng)設(shè)備的用戶(hù)，我們的風(fēng)控系統(tǒng)會(huì)先進(jìn)行評(píng)估。”

支付寶表示，在安全系數(shù)較高的情況下，才讓用戶(hù)回答一系列安全問(wèn)題，然后修改登錄密碼。對(duì)此說(shuō)法，有網(wǎng)友稱(chēng)，“你們看被盜是很小的概率，但是一旦發(fā)生對(duì)我們來(lái)說(shuō)就是百分之百”。

此外，支付寶表示，“這一策略只能找回登錄密碼，僅通過(guò)回答安全問(wèn)題并無(wú)法找回支付密碼”。針對(duì)此說(shuō)法，有網(wǎng)友吐槽了支付寶的“付款”功能，該功能無(wú)須輸入支付密碼，只需商家掃描支付寶二維碼即可實(shí)現(xiàn)上限一千元的小額支付。

不少網(wǎng)友也表示類(lèi)似的擔(dān)憂(yōu)，比如呼吁在商家掃碼之后，多一個(gè)手機(jī)輸入密碼確認(rèn)的環(huán)節(jié)。

■ 小貼士

移動(dòng)支付“安全險(xiǎn)”熱銷(xiāo)

新京報(bào)記者注意到，隨著支付安全問(wèn)題頻頻爆發(fā)，保障賬戶(hù)安全類(lèi)的保險(xiǎn)也成了熱銷(xiāo)產(chǎn)品。目前，各大保險(xiǎn)公司推出的盜刷險(xiǎn)保障范圍大同小異，保額在5萬(wàn)元、10萬(wàn)元甚至100萬(wàn)元的盜刷理賠險(xiǎn)，保費(fèi)往往從幾角錢(qián)到幾十元不等。

以鳳凰金融的壹賬保為例，該保險(xiǎn)可保個(gè)人名下第三方支付賬戶(hù)及銀行卡資金安全，全年不限次賠付，最少的花48.88元保費(fèi)全年保障額度為10萬(wàn)元，花333.88元保費(fèi)全年保障額度可高達(dá)100萬(wàn)元。在理賠時(shí)報(bào)案、遞交相關(guān)材料申請(qǐng)理賠、保險(xiǎn)公司查勘審核通過(guò)之后，一個(gè)工作日之內(nèi)賠款可到賬。

某保險(xiǎn)工作人員告訴記者，賬戶(hù)安全險(xiǎn)作為意外情況的補(bǔ)充，花小錢(qián)買(mǎi)放心是個(gè)不錯(cuò)的選擇。不過(guò)需要注意，各種產(chǎn)品賠付條件各不相同，消費(fèi)者在購(gòu)買(mǎi)前一定要仔細(xì)研讀相關(guān)賠付條款。最好選擇保障范圍更廣更明確的賬戶(hù)安全險(xiǎn)種，在理賠時(shí)就能很清楚地劃定界限，及時(shí)獲得賠償。

專(zhuān)家表示，保障賬戶(hù)安全最重要的還是消費(fèi)者的自我保護(hù)意識(shí)。比如，要保管好賬號(hào)、密碼和網(wǎng)盾，不要輕易向他人透露證件號(hào)碼、賬號(hào)、密碼等；認(rèn)清網(wǎng)站網(wǎng)址，避免陷入釣魚(yú)網(wǎng)站的圈套；確保計(jì)算機(jī)系統(tǒng)和手機(jī)安全，定期下載并安裝最新的操作系統(tǒng)和瀏覽器安全補(bǔ)丁。（王全浩 楊礪）

追問(wèn)1

找回密碼是否存風(fēng)險(xiǎn)漏洞？

在網(wǎng)友曬出他人能夠通過(guò)購(gòu)物信息和好友識(shí)別登錄用戶(hù)賬號(hào)后，支付寶立即回應(yīng)這兩種方式目前僅能在用戶(hù)自己的手機(jī)上找回密碼。

有用戶(hù)擔(dān)心，這種驗(yàn)證方式在熟人交往和消費(fèi)信息分享的情況下，存在漏洞。

上海財(cái)經(jīng)大學(xué)副教授曹?chē)[表示，“互聯(lián)網(wǎng)講究用戶(hù)體驗(yàn)，以前登記的一些問(wèn)題可能記不住，用戶(hù)為了圖方便，也不愿意輸各種號(hào)碼，直接選擇就好了。”

曹?chē)[認(rèn)為，作為支付工具，從支付寶來(lái)說(shuō)，特別希望用一個(gè)很方便的方式來(lái)優(yōu)化各種用戶(hù)體驗(yàn)，但在為客戶(hù)提供便利性的時(shí)候，也要考慮夠不夠安全。

“金融服務(wù)的目的是讓大家保證安全，同時(shí)提升金融消費(fèi)者的體驗(yàn)”。中央財(cái)經(jīng)大學(xué)中國(guó)銀行業(yè)研究中心主任郭田勇表示，金融支付機(jī)構(gòu)要在風(fēng)險(xiǎn)與效率之間尋找一種平衡，他人在通過(guò)購(gòu)買(mǎi)過(guò)的商品等方式登錄支付寶后，應(yīng)該還有其他的風(fēng)險(xiǎn)識(shí)別手段，但用戶(hù)沒(méi)有注意到。

追問(wèn)2

免密支付是否會(huì)被利用？

針對(duì)今日網(wǎng)友聲稱(chēng)的熟人登錄用戶(hù)支付寶后，掃碼支付便不用支付密碼的疑問(wèn)。新京報(bào)記者從螞蟻金服相關(guān)人士處了解到，在使用別的非本人設(shè)備登錄支付寶賬戶(hù)后，使用免密支付也會(huì)先要求輸入交易密碼。

“通常講，手機(jī)如果保存不好，密碼被別人修改了，安全性就很難保證”。曹?chē)[認(rèn)為，密碼被別人修改登錄后，比如有些支付是免密支付，包括商家掃碼，支付安全就不好談。

不過(guò)，他也表示，免密支付的問(wèn)題可能不是很大，“因?yàn)榇蠖嗍切☆~”。他表示，支付工具可以通過(guò)金額控制、情景適當(dāng)限制，在安全和便利性之間做一個(gè)折中，是一個(gè)比較好的方式。

對(duì)此有網(wǎng)友表示，免密支付的上限是1000元，且是單次支付，還是需要更安全的支付手段。

追問(wèn)3

“曬單”為熟人漏洞提供便利？

在支付寶不斷嵌入各種消費(fèi)場(chǎng)景的同時(shí)，在社交方面也不斷進(jìn)行嘗試。通過(guò)支付寶進(jìn)行消費(fèi)后，有的用戶(hù)也會(huì)隨手分享自己的消費(fèi)體驗(yàn)。

在昨日支付寶兩項(xiàng)驗(yàn)證曝出后，也有用戶(hù)擔(dān)心支付寶好友圈曬單會(huì)為泄露信息提供出口，甚至有聲音反對(duì)支付寶做社交。

曹?chē)[表示，用戶(hù)的消費(fèi)行為等暴露出來(lái)后，有增加泄露個(gè)人信息的可能，有些驗(yàn)證方式就不夠安全了。“當(dāng)大家越來(lái)越多使用電子支付的方式，對(duì)支付安全的要求和挑戰(zhàn)更高，在事前不可能了解所有的漏洞，不存在100%絕對(duì)安全的驗(yàn)證方式，這是很正常、可預(yù)見(jiàn)的一次挑戰(zhàn)。”

他認(rèn)為，把支付方式和社交平臺(tái)綁得越多越不安全，但綁得越多，運(yùn)用的場(chǎng)景會(huì)越多，用起來(lái)更方便，但對(duì)技術(shù)提出更高的要求。“讓客戶(hù)發(fā)現(xiàn)問(wèn)題，從這個(gè)角度來(lái)說(shuō)，支付工具提供者做得不夠。”