首页 > 安全 > 关键词 > 支付宝最新资讯 > 正文

支付宝漏洞导致密码可被篡改?亲测难度不小

2017-01-10 13:58 · 稿源:雷锋网

就在今早,小编编辑在上班路上忽然收到了一条支付宝验证码的短信,察觉到异常后立刻打开了支付宝客户端,结果被吓出了冷汗:

他发现自己的支付宝账号竟正被别人登录,随即他收到一条朋友发来的微信消息:

我刚才用网上流传的“支付宝致命漏洞”来重置你的登录密码,竟然成功了!你还不知道吗?朋友圈都传开啦!

支付宝漏洞?小编编辑随即打开朋友圈,发现已经有很多网络安全圈内的朋友都转了一条名为“支付宝惊现致命漏洞,快解绑你的银行卡”的报道。

报道中称,有网友发现支付宝在登录方式上存在致命的逻辑漏洞,导致熟人之间可以相互登录对方的支付宝账号,流程大致如下:

进入「忘记密码」界面后,选择「无法接受短信」,这时候会出现两个相关问题:一、在9张图片当中找出你认识的人 ;二、选择与您有关的地址。

只要成功答对这两道问题,就可以重置该支付宝账号的密码,并且在登录后可以正常使用免支付密码的快捷支付功能,直接使用对方支付宝中的资金。

很快,随着该消息在朋友圈内的传播,越来越多的人表示自己收到支付宝登录验证短信,以及相关的账号异常提醒。许多人开始用身边朋友的支付宝账号来尝试复现该漏洞。

有人表示,周围已经有不下十人成功登录了身边朋友的支付宝账号,甚至有网络安全高手也中招了,由此他判断此次问题可能非常严重。

真实成功率如何?

小编编辑在对周围朋友的支付宝账号进行了大约7~8 次尝试后,成功重置了自己女朋友的支付宝密码,这是在双方十分了解,知道对方认识的人、购物记录和家庭住址等情况的前提下实现的。虽然结果确实令人惊讶,但成功率并没有网上说的那么夸张——“陌生人有五分之一的机会登录你支付宝,熟人有百分之百的机会登录你的支付宝”。

在测试中我们发现,两个测试题会随机出现“你认识的人”、“和你相关的地址”、“你曾经买过的东西”等不同的问题,只要答错一两次,该种方式就会被屏蔽,只允许使用其他方式找回密码,并且其他的方式也会在尝试失败后逐渐被屏蔽,这似乎触发了支付宝的某种安全机制。

【验证失败后验证方式会发生变化】

在多次试验后,小编(公众号:小编)编辑发现自己无论使用谁的支付宝账号,都无法再使用之前那种通过相关信息来重置密码的方式。

至上午10点左右,周围不少在测试该漏洞的朋友也表示自己测试失败,只有在自己的常用设备下才能触发相关消息找回。有安全从业者表示:“支付宝响应很快,据说目前已经对风控进行了调整。”

支付宝官方回应

至上午11点50分左右,支付宝官方微博发出声明,对此次事件进行了公告,全文如下:

虽然目前蚂蚁金服方面尚未给出具体的风控手段解析,但据小编了解,支付宝风控和阿里聚安全应用了同一套技术基础,据此,可以判断支付宝也应用了以下风控手段:

风险信息库

对于支付宝的所有的验证登录数据,都会被收录到风险信息库中。每一个风险用户和背后的手机、邮箱、IP地址、身份证号都会被记录在案。

设备指纹

对于每一台登录支付宝的设备,风控措施都会为了给设备定义一个独特的指纹,系统会收集多维度的信息,例如:

  • App的基本信息。其中包括 App 的名称、版本等,也包括集成 SDK 的版本信息。
  • 设备信息。包括设备的名称、型号、系统、IMEI号、MAC地址。(iOS 设备只能获取部分信息)
  • 网络信息。wifi、4G等参数。
  • 公开的接口信息。例如软件ID、开发者ID。

通过以上信息综合算出设备的“指纹ID”。这个 ID 相当于设备的身份证。当硬件发生变动时,只要改动的部件低于一定比例,仍会被认定为是同一台设备。

根据支付宝的公告,目前已调整风控等级,支付宝的风控措施会在背后判断根据以上的设备指纹来判断是否是用户的常用设备,用户仅仅在自己的设备上才能使用相关信息才能使用“相关信息验证”的方式来登录。

因此,现在已经不必再着急解绑自己的银行卡了,更重要的应该是,看好自己的手机!

小编将继续对此次事件进行进行后续报道,为大家还原其中的关键技术细节。

小编原创文章,。

  • 相关推荐
  • 大家在看
  • 支付宝回应手机黑产:黑产在支付宝没套到钱和信息

    10月9日消息,近日,一篇标题为《一部手机失窃而揭露的窃取个人信息实现资金盗取的黑色产业链》的文章在网上刷屏,该文讲述了由于家人一部手机被盗,作者经历一场与一伙专业老练、利用窃取个人信息盗取他人银行账户资金的犯罪团伙斗智斗勇的事件。 由于文章中提及了电信、华为、支付宝、美团、苏宁金融等众多企业,引起大家对财产安全的警惕和讨论,广受热议。一位支付宝“非攻”安全实验室的同学在朋友圈对此进行了回

  • 每天深夜超万人上支付宝搜“一夜暴富”,支付宝的回应亮了

    支付宝官方微博透露,每天深夜有超万人上支付宝找“暴富”,回应用户需求,支付宝也大方公布“一夜暴富”的方法。当谜底揭晓,网友直呼“这个终极宝典让人心服口服”。

  • 美团和支付宝,越来越像

    美团和支付宝的App长得越来越像,看起来甚至有一种“孪生兄弟”的即视感。美团和支付宝都变了,它们正变得越来越雷同,彼此向对方的核心领域渗透。

  • 支付宝iOS版新增扫一扫识物 支付宝在线扫码识物在哪里扫

    日前支付宝iOS版App迎来更新,版本升级到v10.2.6。本次更新带来了首页“扫一扫——识物”:对准物体拍照识别,快速获取商品、植物、动物、汽车的相关信息。去年微信的“扫一扫”也新增“识物”操作。

  • 国庆高速为何堵成狗?跟支付宝这个数字有关

    10 月 6 日,数字生活服务平台支付宝公布了国庆前 4 天的出行搜索报告。数据显示,“运动”、“乘车”、“租车”、“出行意外险”等出行服务的搜索量相较五一大幅上扬,全民出行热潮堪比“春运”。

  • 微信、支付宝电子支付越来越流行:我国ATM机数量锐减

    目前,我国是全球移动支付最领先的,没有之一。随着微信、支付宝等移动支付也来越来越受欢迎,现金使用率也在降低,其中最为直接的一个代表,就是ATM机数量锐减。央行支付体系报告显示,今年

  • 支付宝一个举动,久久丫吃上了留夫鸭的醋?

    10 月 10 日,两大知名卤味品牌留夫鸭、久久丫和支付宝官微上演了一出“争宠记”。原来,留夫鸭晒出支付宝授予的小程序“明日爆款之星”奖状,结果引来“同门师弟”久久丫暗暗“吃醋”:自己成绩也很好,支付宝看看呢?“鸭丫相争”之下,支付宝则化身"端水大师",为两个品牌一一点赞加油。 图:支付宝“端水式”点赞留夫鸭、久久丫 据了解,主打鸭熟食、在卤味餐饮行业高歌猛进的留夫鸭, 8 月初升级与支付宝的合作,正式上线支付

  • 马云19年前保密项目重启 曾打造了支付宝

    全球高级别金融科技大会——“外滩大会”于2020年9月24日-9月26日在上海世博园区举行,首届大会主题为“科技让未来更普惠”。“外滩大会”由上海市人

  • 上支付宝搜“鹏华新发” 分享蚂蚁战略配售机会

    9月25日,鹏华等五只创新未来18个月封闭运作混合基金全面发售,可参与蚂蚁集团IPO战略配售(最高比例可达基金资产的10%),成为此轮基金发行的最大看点。五只产品分别来自于公募领域主动权益投研实力一流的大型基金公司,亦成为市场关注的焦点。其中,鹏华创新未来拟由王宗合担任基金经理,在一些线上基金投资平台,“买蚂蚁战配基金,认准国民基金经理王宗合”,反映出不少投资者的心声。王宗合“双料金牛名将”的形象特质,与鹏华基金“基本?

  • 有了微信、支付宝为何还要推数字人民币 央行:最安全

    虽然目前还不清楚数字人民币会在何时正式上线,但国家推出它的态度是坚决的,毕竟有些地方已经开始内测。你是不是有这样的疑惑,有了支付宝和微信,为什么还要推出数字人民币呢,多此一举吗?

  • 支付宝公布国庆前4天出行报告:“乘车码”搜索量比五一涨170%

    6日,支付宝公布国庆前4天出行搜索报告显示,“运动”、“乘车”、“租车”、“出行意外险”等出行服务的搜索量相较五一大幅增长。其中,“运动”搜索量90后位于第一位,60后和00后成为黑马。报告显示,“乘车码”搜索量比五一涨170%;在全国搜索“乘车码”的省份排名中,广东名列第一,浙江、上海、江苏、河南、山东、湖北、北京、四川、安徽位于前十。此外,“租车”搜索量较五一增长九成,租相

  • 支付宝上线晚点付服务 先交易后付款全程0费用

    近日,支付宝上线晚点付功能,用户可在支付宝搜索“晚点付”进入该功能,或者在芝麻信用的权益里找到该小程序。目前,该功能正在逐步开放中,将面向700分以上用户。

  • “国务院客户端”正式上线支付宝

    13日,国务院办公厅主办、中国政府网运行中心运行维护的小程序“国务院客户端”正式上线支付宝,覆盖教育、医疗、就业等12个大类的便民服务。据介绍,“国务院客户端”支付宝小程序推出12个大类超过70余项便民服务,包括公积金服务、疫情防控服务、就业服务、社保服务等。此外还推出特色服务专区,包括就业服务专区,中小微企业、个体工商户服务专区,国庆中秋服务专区等。专区是将部分主题服务?

  • 5只新基金将认购蚂蚁股票 25日起支付宝上可购买

    9月23日消息,22日晚间,蚂蚁集团向上交所提交招股文件(注册稿)显示,易方达、汇添富、华夏、鹏华、中欧五家基金公司与蚂蚁集团签署了战略投资者认股协议,将推出以发行价认购蚂蚁股票的新基金,封闭期18个月。这意味着,蚂蚁上市前,普通投资者都能通过基金的形式来投资蚂蚁,0门槛实现“云打新”。 据悉 ,五只基金累计募资规模600亿,均计划配10%蚂蚁新股,为单只股票允许的最高配比,剩下90%将投向其他标的。25?

  • 误操作花400多万买下茅台?支付宝:没有支付成功 每笔交易有智能安全保护

    5日,此前有报道称西安一儿童用爸爸手机在盒马下单了100瓶贵州茅台,单笔支付近430万元。对此,支付宝工作人员表示,经内部核实,虽然该用户确实提交该笔订单,但最终并未跳转到支付宝发起支付,最终订单超时而被系统关闭。支付宝工作人员还介绍,在不同支付场景下都有额度限制,支付宝每笔交易都会受到智能安全系统的保护,安全性不用担心。如果被盗,支付宝将会全额赔付。此外,针对下单付款没?

  • 国庆过出年味支付宝上出行热度比五一大涨170%

    10月6日,数字生活服务平台支付宝公布了国庆前4天的出行搜索报告。数据显示,“运动”、“乘车”、“租车”、“出行意外险”等出行服务的搜索量相较五一大幅上扬,全民出行热潮堪比“春运”。而高涨的出行需求又进一步拉动了国内消费活力释放,加快经济复苏。

  • 马云19年前的保密项目今天落地了,价值堪比支付宝

    没想到, 19 年前阿里巴巴的保密项目,又重启了。2001 年,面对外贸交易中买卖双方互相不信任的问题,阿里巴巴B2B公司尝试用类似中间担保的模式解决。“我们在启动一场技术革命,全世界的人只要坐在家里打开电脑,他可以直接订货。”马云如是说。

  • 阿莲找到了:11年前一句气话扎醒支付宝

    9月18日,支付宝在官微微博发布“寻人启事”,让大家帮忙寻找一个叫“阿莲”的女孩。经过3天传播,支付宝这两天认识了200多个阿莲。终于在9月21日下午,支付宝宣布:阿莲

  • 10年前她的一句扎心话改变了10亿人的支付体验 支付宝:人找到了!

    “如果有的选,我会不用支付宝”,10年前她的一句气话,改变了10亿人的支付体验。9月21日,支付宝宣布,推动快捷支付诞生的用户阿莲找到了,她叫王丽莲,是广州的一位临床药师。

  • 又双叒叕来了!支付宝上线「晚点付」,看看那些年蚂蚁的获客玩法合集

    ​在金融服务这件事上,蚂蚁集团是新玩法最多的机构了。近日,新流财经发现,芝麻信用的信用权益一栏中又新上线了“晚点付”,当用户支付宝上所有支付渠道都不可用,且手动选择每张银行卡均无法成功付款时即可使用“晚点付”。

  • 参与评论
文明上网理性发言,请遵守新闻评论服务协议
  • 热门标签

热文

  • 3 天
  • 7天