水手 发表于 2018-12-7 12:13:33

网曝支付宝漏洞:手机丢了,支付宝也就完了

天涯论坛上爆出了支付宝的一个安全的帖子(支付宝设计业务流程的同学准备下岗吧!)大意是:手机丢了的话,支付宝账号和密码都有了。
测试场景:捡到一个手机,只要你的手机绑定了支付宝,没有银行卡身份证其他的任何东西,就通过这个手机顺利提现支付宝余额。至于支付宝的数字证书、支付密码依然是通过手机找回密码,短信验证即可。陆密码,数字证书,支付密码都被攻克了,已经把余额宝钱转出来了。
另外一个问题@iceyes汪利辉也提到:验证环境不是普遍环境,测试者是在自己机器上做的测试,经常登录的机器,支付宝识别为当前帐号可信机器,取回支付密码只需要短信验证。如果不是可信机器,网页版是需要另外提供身份证号码和银行卡号的。是不是这样,建议大家拿别人的机器试试,不带这样黑的。
来自阿里巴巴网络工程师的回复@Chass:
1.使用余额宝、快捷支付被盗造成的资金损失,支付宝都会给予全额补偿,补偿金额无上限。
2.数字证书并非是最高安全等级产品,推荐使用支付宝手机钱包中的手机宝令。
3.手机丢失也会威胁银行账户手机请设置密码,手机丢失是一种风险。但由于纯依赖手机号码权限不够,还需要验证附加密码或信息。目前纯粹因为手机丢失所发生的威胁,多数是熟人关系。需要注意的是,银行的客服也会识别来电手机号码,所以手机还是建议设置锁屏密码。
页: [1]
查看完整版本: 网曝支付宝漏洞:手机丢了,支付宝也就完了