支付寶手機支付藏驚天漏洞 大量用戶被盜刷(圖)
(看中國配圖/網路圖片)
【看中國2013年11月23日訊】近日不少媒體報導,用戶手機賬戶裡的錢「莫名」被轉走,折射支付安全隱憂。在手機上使用第三方支付,僅需一個「賬戶名 驗證碼」便可重置密碼,這是個驚天漏洞。11月18日,北京晨報記者從安全專家口中證實,已研究發現大量截獲「驗證碼」的木馬。它的出現,意味著手機支付防線開始破裂。
「驗證碼大盜」成災 大量用戶被盜刷
今年5月,金山反病毒工程師李鐵軍抓到一款色情軟體,能自動攔截「手機驗證碼」,他很疑惑,它用這個功能要幹什麼。10月份,木馬樣本越來越多,幾乎已成災。又有華西都市報、信息時報、金陵晚報先後報導,不少用戶賬戶裡的錢「莫名」被轉走。
直覺告訴李鐵軍,這可能與「驗證碼大盜」有關。「我又回過頭往病毒庫找樣本,結果一找,發現了20個木馬作者的郵箱,裡面記錄著大量的盜刷記錄!」
每個郵件數量不等,少的幾十封,多的幾百封,木馬攔截簡訊後,直接把它們轉發到作者郵箱。內容多是受害者的身份證、手機號等,還有一些驗證碼記錄,比如重置密碼、開通快捷銀行、付款。
11月初,奇虎360宣布發現類似樣本,其工程師向北京晨報記者表示,它的傳播渠道有兩種,「一種是不正規的安卓應用市場、下載站、論壇等,二是一對一發送,常見有冒充淘寶買家給賣家發送圖片,誘導其掃瞄下載。」
漏洞指向第三方支付 「修改密碼」門檻太低
許多用戶可能有點蒙,攔截一個「驗證碼」而已,怎麼就能把賬戶裡的錢轉走?李鐵軍向記者做了演示:先用釣魚方式獲取賬戶名,再以「找回密碼」為由修改新密碼。「目前研究的樣本中,木馬獲取密碼的唯一方式就是 找回密碼 。」
大致過程為:「淘寶買家」向賣家發送二維碼,對方掃瞄後會彈出一個頁面:「網路突然中斷,需要您填寫下賬戶名」,中招後,「買家」跟支付寶申請「我忘記密碼」,支付寶會發送「手機驗證碼」確認,「買家」用木馬把它攔截,轉發到自己郵箱,之後盜刷支付寶便如探囊取物。
「修改密碼」一直是支付安全的核心環節,歷來被銀行重視。北京晨報記者瞭解到,在PC端支付,銀行曾採用U盾硬加密,後來手機流行,為簡化環節推出「快捷支付」,無需U盾輸入「驗證碼」即可,但在「修改密碼」環節,銀行一直未降低門檻:需要到線下網點辦理。
北京晨報記者親測中國建設銀行手機端,嘗試修改密碼,需要持有效身份證件及註冊手機銀行的賬戶,去櫃檯辦理相關手續。而第三方支付修改密碼確只需「用戶名 驗證碼」,這更意味著木馬獲知賬戶名即獲知密碼,在推出手機綁定服務後,目前絕大多數用戶已將賬戶與手機號進行了綁定,這更增加了盜號風險。
電商質疑盜號可行性 稱發生概率很低
北京晨報記者就該漏洞,向國內擁有第三方支付牌照的電商反映,得到的一致回覆是:發生概率很小。蘇寧易購一位負責支付工作人員表示,此前只有過用戶SIM卡被複製盜刷的情況,「攔截驗證碼」的方式,還是第一次聽說。
支付寶相關負責人則表示,通過「攔截驗證碼」找回密碼的方式,在支付寶不可行。「我們不僅是看驗證碼,還會要求它的身份證號。另外,若後臺識別出用戶可能在危險環境下,會進一步提高修改密碼門檻。」
但記者親測發現,該說法與事實不符:無需身份證,只需賬戶名 驗證碼。申請「忘記密碼」後,記者僅需輸入賬戶名——選擇「手機校驗碼」(30分鐘內有效)——收到支付寶的簡訊,隨後便能修改新密碼,整個過程不超過2分鐘。
對於此類盜號木馬,國內一電商負責金融的工作人員作出評價,目前用戶支付信息只會存在兩個地方,一個是銀行,一個是第三方支付公司。相比之下,銀行盜刷難度較大,「除非你丟手機的同時,銀行卡也丟了。」
来源:北京晨報
短网址: 版權所有,任何形式轉載需本站授權許可。 嚴禁建立鏡像網站。
【誠徵榮譽會員】溪流能夠匯成大海,小善可以成就大愛。我們向全球華人誠意徵集萬名榮譽會員:每位榮譽會員每年只需支付一份訂閱費用,成為《看中國》網站的榮譽會員,就可以助力我們突破審查與封鎖,向至少10000位中國大陸同胞奉上獨立真實的關鍵資訊, 在危難時刻向他們發出預警,救他們於大瘟疫與其它社會危難之中。
看完這篇文章您覺得
- 大開眼界!創記錄的「人體噴泉」(組圖)
- 習近平忌憚三個紅二代(組圖)
- 【宋紫鳳專欄】從潘美到潘仁美 是藝術加工還是神來之筆(組圖)
- 江曾一政策藏汙納垢 老虎前仆後繼終南捷徑(組圖)
- 中國經濟舊模式大潰敗 注定一個時代已經結束(圖)
- 【貫明專欄】臺灣最美的海灣 人間仙境七星潭(視頻)
- 上海幫已被習近平徹底「攻陷」栗戰書空降掌上海(圖)
- 汪洋被曝抓青椒砸隨從 中央兩大小組人選微妙(圖)
- 魯向東被判無期 王岐山欲拿下江澤民之子?
- 揭秘解放軍潛規則 陳賡女婿曝紅二代分裂(圖)
- 李克強急死了 出手可能比朱鎔基更強硬
- 傳李源潮在上海曾遭暗殺 十八大前20分鐘驚魂(圖)
- 習近平與曾慶紅被曝公開決裂(圖)
- 放風:劉源突然「發威」直指軍委負責人
- 中共肺炎(又称武漢肺炎)
- 病毒
- COVID-19
- 疫苗
- 台鐵
- 拜登
- 川普
- 特朗普
- 國安法
- 貿易戰
- 習近平
- 華為
- 三峽大壩
- 新疆棉
- 長江
- 洪水
- 袁弓夷
- 港版國安法
- 漢光演習
- 國民黨
- 退黨
- 弗洛伊德
- BLM
- 中共
- 閻麗夢
- 金正恩
- 王岐山
- 賴清德
- 孟晚舟
- 關稅
- 邊境牆
- 彭斯
- 美國
- 貿易談判
- 劉鶴
- 王滬寧
- 江澤民
- 崔永元
- 中南海
- 內幕
- 中共
- 反送中
- 貪官
- 情婦
- 腐敗
- 反腐
- 打虎
- 官場
- 看中國
- 一國兩制
- 法廣
- 社交媒體
- 往事微痕
- 出賣國土
- FB
- 六四
- 朝鮮
- 加拿大
- 脫歐
- 央行
- 債務
- 槓桿
- 美元
- 貨幣
- 人民幣
- 歐元
- 日元
- 港幣
- 房地產
- 樓市
- 財政
- 財富
- 中產
- 海參崴
- 台灣
- 蔡英文
- 北京
- 劉強東
- 大媽
- 房價
- 疫苗
- 非洲豬瘟
- 大陸
- P2P
- 霧霾
- 基因編輯
- 防火牆
- 維權
- 709律師
- 上訪
- 法輪功
- 網絡審查
- 活摘器官
- 江東六十四屯
- 唐努烏梁海
- 長白山
- 白龍尾島
- 江心坡
- SARS
- 新疆勞改營
- 言論自由
- 女主播
- 央視
- 華人
- 移民
- 華人
- 留學
- 海關
- 遣返
- 簽證
- 回國
- 入籍
- 綠卡
- 民生
- 海外
- 加拿大
- 澳洲
- 民國
- 桂軍
- 抗戰
- 孫中山
- 蔣介石
- 宋美齡
- 鄧小平
- 林彪
- 劉奇
- 中共
- 皇帝
- 諸葛亮
- 易經
- 幽默人生
- 智慧
- 感悟
- 手機
- 預言
- 奇聞
- UFO
- 外星人
- 壽命
- 文革
- 養生
- 紫鳳
- 貫明
- 李道真
- 軼飛
- 李雲飛
- 雲中君
- 辛思
- 夏聞
- 時代漫談
- 滄海
- 東方縱橫
- 唐柏橋
- 王尚一
- 江楓
- 黃清
- 李唐風
- 園丁
- 今濤拍暗
- 李青城
- 秦就石
- 中經研
- 秦天靖
- 江浩
- Eagle Vision
- 李子壬
- 馬新宇
- 馬來啟
- 紫君
- 秦山
- 陳破空
- 戴東尼
- 曹長青
- 邢仁濤
- 瑜正
- 簡易
- 肖川
- 伍凡
- 顧言
- 歸瑜
- 乙欣
- 陳泱潮
- 徐沛
- 烏克蘭高官:俄羅斯可在7天內佔領波羅的海國家(圖)
- 美菲首赴南海島礁實戰軍演 福建號兩關鍵缺陷曝光(視頻)
- 共軍系列異動 5月20日前對臺「戰爭」被美「警訓」(圖)
- 「我愛你」的下半句是什麼?時間告訴人答案(圖)
- 烏克蘭的新戰術:打擊鐵路供電 阻滯俄軍後勤運輸!(視頻)