• 首页 > 产经频道 > 家电新闻

    有人钻支付宝漏洞更改了别人的支付宝密码

    2017年01月10日 10:47:05   来源:虎嗅网

      如果你的支付宝在你不知情的情况被别人更改了密码,还能免密码支付?请问你的心情如何?

      这个问题从昨晚(1月10日)开始,横亘在每一个支付宝用户的心头。据悉,从昨晚开始,有网友反映,只需要几个步骤,你就可以操控别人的支付宝了。这简直堪比科幻大片:

      1.打开支付宝登录界面,输入帐号后点击忘记密码

      2.输入帐号后直接点无法接收短信

      3.这里有很多验证方式,选择你所知道的方式,熟人验证,你知道的朋友信息

      4.更改密码,原密码直接忘记,直接更改

      5.修改完直接登入账户,拥有全部功能,且支持免密支付

      这个问题迅速发酵,随后虎嗅多位同事在第一时间进行了测试,发现目前这个问题已经修复,无法按照上述步骤篡改别人的密码,帮别人花对方支付宝的钱。

      在撬动了2016年百度各种问题的第一阵地——知乎上,有网友迅速建立了一个讨论:如何看待支付宝1月10日被曝光的非密码登录模式下可能出现的账户安全风险?

      在下面的讨论中,一位自称是阿里员工的网友“winter”说:

      这个问题我10几天前就在内网反馈过了,后来支付宝的人解释了一下情况没大家想的那么糟,据说是有环境判断的,/*支付宝同学要求不要说具体安全策略,这段删掉,总之是有环境判断的*/,另外还有支付密码,所以即使盗了最多刷走点小额,以及搞个朋友圈行骗之类的。

      支付宝同学认为这不是bug,据说是为了平衡体验和安全性(黑人问号脸),然而支付宝存几十万的我,表示最好是让我生成RSA我自己持有私钥支付宝服务器拿公钥,这样体验最好。

      而另一位阿里前员工,显示是“资深网络安全研究人员,默安科技CTO”的网友“云舒”也跟帖称:

      支付宝这个,确实有问题,不过上午已经修复了。而且类似的事情,以前就出现过,我还在阿里的时候就跟一个叫jason的SB VP吵过架,我说是漏洞他们team说不是,有邮件为证——当然我现在看不到阿里的邮件了。

      我坚信,类似的风控问题还会继续出。首先因为对安全的理念,我们安全人员看案例,他们业务人员看概率。其次,技术发展方向,他们为了使用方便,太信任机器学习模型,太信任基于风控的控制,而忽视了传统技术层面的强控制。

      虎嗅就此时联系支付宝的工作人员,对方表示目前正在解决,随后他们给了我一份回应:

      我们接到网友反映,称可以通过识别好友、识别近期购买物品,来找回支付宝登录密码。

      这一方式仅在特定情况下才会实现。通常情况下,用户找回登录密码至少需要输入手机短信验证码。对于部分暂时无法收到短信的用户或者更换移动设备的用户,我们的风控系统会先进行评估(比如账户信息完整程度、网络环境等因素)。在安全系数较高的情况下,才让用户回答一系列安全问题,只有在回答正确后,才能修改登录密码。

      这一策略只能找回登录密码,仅通过回答安全问题并无法找回支付密码。且一旦用户支付宝在其他设备被登录,本人设备会收到通知提醒。

      为了更好提升用户的安全感,在接到网友反映后,我们于今日上午进一步提高了风控系统的安全等级。目前仅在用户自己的手机上,才能通过识别近期购买商品以及识别本人好友来找回登录密码,通过其他手机设备是无法应用这一方式找回登录密码的。

      我们也欢迎用户继续对我们的安全策略提出意见和建议,我们会根据大家的反馈进一步完善和修正。

      但目前最好的办法是,要么你把支付宝里的余额宝里的钱先转到银行卡里,然后将银行卡跟支付宝绑定。同时,建议你修改支付宝密码。

      来源:XXX(非中文科技资讯)的作品均转载自其它媒体,转载请尊重版权保留出处,一切法律责任自负。

      文章内容仅供阅读,不构成投资建议,请谨慎对待。投资者据此操作,风险自担。

      中文科技资讯倡导尊重与保护知识产权。如发现本站文章存在版权问题,烦请30天内提供版权疑问、身份证明、版权证明、联系方式等发邮件至news@citnews.com.cn,我们将及时沟通与处理。

    [责任编辑: CIT03]
    分享到微信

    最新

    新闻

    马斯克:20年后无人驾驶将会普及

    日前特斯拉CEO埃隆马斯克在参加NGA会议是表示,未来10年后,超过一半的新车将是电动汽车,而且,几乎所有将是全自动无人驾驶汽车。

    科学

    美国宇航员年薪有多少?原来还分地球工资和太空工资

    7月23日,据国外媒体报道,实际上美国和俄罗斯的宇航员的工资分为两种:地球工资和太空工资。如果执行了太空任务,会有相应的补助,工资会更高。相比之下,俄罗斯宇航员的收入会低一些。

    融合

    亚马逊的新专利厉害了 通过无人机扫描房子后按需推荐

    7月27日消息,据国外媒体报道,根据亚马逊授予的一项专利,该公司计划未来派无人驾驶飞机配备数据抓取传感器,扫描客户的房子,分析客户的购买行为,并为客户推荐更多的商品。

    专栏

    从知识付费不同时期演化 看其蜕变之路

    信息技术革命后,泥沙聚下的信息爆炸逐渐被精准对接用户需求的商业开发筛选,知识也从海量的信息中被抽离,摇身一变从免费共享的资源成了待价而沽的商品。