編輯在上班路上忽然收到了一條支付寶驗證碼的短信，察覺到異常后立刻打開了支付寶客戶端，結果被嚇出了冷汗：

他發(fā)現(xiàn)自己的支付寶賬號竟正被別人登錄，隨即他收到一條朋友發(fā)來的微信消息：

我剛才用網上流傳的“支付寶致命漏洞”來重置你的登錄密碼，竟然成功了!你還不知道嗎?朋友圈都傳開啦!

支付寶漏洞?雷鋒網編輯隨即打開朋友圈，發(fā)現(xiàn)已經有很多網絡安全圈內的朋友都轉了一條名為“支付寶驚現(xiàn)致命漏洞，快解綁你的銀行卡”的報道。

報道中稱，有網友發(fā)現(xiàn)支付寶在登錄方式上存在致命的邏輯漏洞，導致熟人之間可以相互登錄對方的支付寶賬號，流程大致如下：

進入「忘記密碼」界面后，選擇「無法接受短信」，這時候會出現(xiàn)兩個相關問題：一、在9張圖片當中找出你認識的人 ;二、選擇與您有關的地址。

只要成功答對這兩道問題，就可以重置該支付寶賬號的密碼，并且在登錄后可以正常使用免支付密碼的快捷支付功能，直接使用對方支付寶中的資金。

很快，隨著該消息在朋友圈內的傳播，越來越多的人表示自己收到支付寶登錄驗證短信，以及相關的賬號異常提醒。許多人開始用身邊朋友的支付寶賬號來嘗試復現(xiàn)該漏洞。

有人表示，周圍已經有不下十人成功登錄了身邊朋友的支付寶賬號，甚至有網絡安全高手也中招了，由此他判斷此次問題可能非常嚴重。

真實成功率如何?

雷鋒網(公眾號：雷鋒網)編輯在對周圍朋友的支付寶賬號進行了大約7~8 次嘗試后，成功重置了自己女朋友的支付寶密碼，這是在雙方十分了解，知道對方認識的人、購物記錄和家庭住址等情況的前提下實現(xiàn)的。雖然結果確實令人驚訝，但成功率并沒有網上說的那么夸張——“陌生人有五分之一的機會登錄你支付寶，熟人有百分之百的機會登錄你的支付寶”。

在測試中我們發(fā)現(xiàn)，兩個測試題會隨機出現(xiàn)“你認識的人”、“和你相關的地址”、“你曾經買過的東西”等不同的問題，只要答錯一兩次，該種方式就會被屏蔽，只允許使用其他方式找回密碼，并且其他的方式也會在嘗試失敗后逐漸被屏蔽，這似乎觸發(fā)了支付寶的某種安全機制。

【驗證失敗后驗證方式會發(fā)生變化】

在多次試驗后，雷鋒網編輯發(fā)現(xiàn)自己無論使用誰的支付寶賬號，都無法再使用之前那種通過相關信息來重置密碼的方式。

至上午10點左右，周圍不少在測試該漏洞的朋友也表示自己測試失敗，只有在自己的常用設備下才能觸發(fā)相關消息找回。有安全從業(yè)者表示：“支付寶響應很快，據說目前已經對風控進行了調整。”

支付寶官方回應

至上午11點50分左右，支付寶官方微博發(fā)出聲明，對此次事件進行了公告，全文如下：

雖然目前螞蟻金服方面尚未給出具體的風控手段解析，但據雷鋒網了解，支付寶風控和阿里聚安全應用了同一套技術基礎，據此，可以判斷支付寶也應用了以下風控手段：

風險信息庫

對于支付寶的所有的驗證登錄數據，都會被收錄到風險信息庫中。每一個風險用戶和背后的手機、郵箱、IP地址、身份證號都會被記錄在案。

設備指紋

對于每一臺登錄支付寶的設備，風控措施都會為了給設備定義一個獨特的指紋，系統(tǒng)會收集多維度的信息，例如：

— App的基本信息。其中包括 App 的名稱、版本等，也包括集成 SDK 的版本信息。

—設備信息。包括設備的名稱、型號、系統(tǒng)、IMEI號、MAC地址。(iOS 設備只能獲取部分信息)

—網絡信息。wifi、4G等參數。

—公開的接口信息。例如軟件ID、開發(fā)者ID。

通過以上信息綜合算出設備的“指紋ID”。這個 ID 相當于設備的身份證。當硬件發(fā)生變動時，只要改動的部件低于一定比例，仍會被認定為是同一臺設備。

根據支付寶的公告，目前已調整風控等級，支付寶的風控措施會在背后判斷根據以上的設備指紋來判斷是否是用戶的常用設備，用戶僅僅在自己的設備上才能使用相關信息才能使用“相關信息驗證”的方式來登錄。

因此，現(xiàn)在已經不必再著急解綁自己的銀行卡了，更重要的應該是，看好自己的手機!

關鍵詞： 支付寶 現(xiàn)重大漏洞