手机支付惊天漏洞 你的卡被盗了吗(图)

来源:互联网新闻 时间:2020-05-02 10:03

【手机支付惊天漏洞】手机支付惊天漏洞,近日不少媒体报道,用户手机账户里的钱“莫名”被转走,反映出支付安全隐忧。在手机上使用第三方支付,仅需一个“账户名 验证码”便可重置密码,这是个惊天漏洞。11月18日,记者从安全专家口中证实,已研究发现大量截获“验证码”的木马。它的出现,意味着手机支付防线开始破裂。手机支付漏洞爆出安全隐患,你还敢手机支付吗?

手机支付惊天漏洞

手机支付惊天漏洞

“验证码大盗”成灾

大量用户被盗刷

今年5月,金山反病毒工程师李铁军抓到一款色情软件,能自动拦截“手机验证码”,他很疑惑,它用这个功能要干什么。10月份,木马样本越来越多,几乎已成灾。又有各大报纸先后报道,不少用户账户里的钱“莫名”被转走。

直觉告诉李铁军,这可能与“验证码大盗”有关。“我又回过头往病毒库找样本,结果一找,发现了20个木马作者的邮箱,里面记录着大量的盗刷记录!”

每个邮件数量不等,少的几十封,多的几百封,木马拦截短信后,直接把它们转发到作者邮箱。内容多是受害者的身份证、手机号等,还有一些验证码记录,比如重置密码、开通快捷银行、付款。

11月初,奇虎360宣布发现类似样本,其工程师向记者表示,它的传播渠道有两种,“一种是不正规的安卓应用市场、下载站、论坛等,二是一对一发送,常见有冒充淘宝买家给卖家发送图片,诱导其扫描下载。”

漏洞指向第三方支付

“修改密码”门槛太低

许多用户可能有点蒙,拦截一个“验证码”而已,怎么就能把账户里的钱转走?李铁军向记者做了演示:先用钓鱼方式获取账户名,再以“找回密码”为由修改新密码。“目前研究的样本中,木马获取密码的唯一方式就是‘找回密码’。”

大致过程为:“淘宝买家”向卖家发送二维码,对方扫描后会弹出一个页面:“网络突然中断,需要您填写下账户名”,中招后,“买家”跟支付宝申请“我忘记密码”,支付宝会发送“手机验证码”确认,“买家”用木马把它拦截,转发到自己邮箱,之后盗刷支付宝便如探囊取物。

“修改密码”一直是支付安全的核心环节,历来被银行重视。记者了解到,在PC端支付,银行曾采用U盾硬加密,后来手机流行,为简化环节推出“快捷支付”,无需U盾输入“验证码”即可,但在“修改密码”环节,银行一直未降低门槛:需要到线下网点办理。

记者亲测中国建设银行手机端,尝试修改密码,需要持有效身份证件及注册手机银行的账户,去柜台办理相关手续。而第三方支付修改密码确只需“用户名 验证码”,这更意味着木马获知账户名即获知密码,在推出手机绑定服务后,目前绝大多数用户已将账户与手机号进行了绑定,这更增加了盗号风险。

电商质疑盗号可行性

称发生概率很低

记者就该漏洞,向国内拥有第三方支付牌照的电商反映,得到的一致回复是:发生概率很小。苏宁易购一位负责支付工作人员表示,此前只有过用户SIM卡被复制盗刷的情况,“拦截验证码”的方式,还是第一次听说。

支付宝相关负责人则表示,通过“拦截验证码”找回密码的方式,在支付宝不可行。“我们不仅是看验证码,还会要求它的身份证号。另外,若后台识别出用户可能在危险环境下,会进一步提高修改密码门槛。”

但记者亲测发现,该说法与事实不符:无需身份证,只需账户名 验证码。申请“忘记密码”后,记者仅需输入账户名——选择“手机校验码”(30分钟内有效)——收到支付宝的短信,随后便能修改新密码,整个过程不超过2分钟。

对于此类盗号木马,国内一电商负责金融的工作人员作出评价,目前用户支付信息只会存在两个地方,一个是银行,一个是第三方支付公司。相比之下,银行盗刷难度较大,“除非你丢手机的同时,银行卡也丢了。”

海盐一黑作坊生产油炸肉皮 当地回应称浙江丽水市区一民房发生火灾 致一人死浙民间达人创平湖清明上河图 绘美景欲宁波制造将联姻台湾设计 打造文化创意阿富汗明确驻阿外国士兵人数上限日内瓦第三轮伊朗核谈启动 协议受多方菲香港人质事件一受害者获“慰问金” 沙特边境飞来6枚炮弹 伊拉克否认与此伊拉克首都东北发生汽车炸弹爆炸事件 伊拉克首都东北发生汽车炸弹爆炸事件 迪拜航空展因雷雨提前落幕土耳其在总理办公室外逮捕疑似自杀式炸土耳其在总理办公室外逮捕疑似自杀式炸土耳其挫败一起针对总理府的自杀式袭击浙江丽水法院开展司法网拍工作 一年成纽约25岁中国女留学生疑因课业压力大一美国人疑遭朝鲜扣押埃及高校爆发冲突1人死亡晚班车:一美国人赴朝旅游时疑遭朝鲜扣澳大利亚众议院通过碳税废除法案孙杨无缘\"体坛风云人物\"名单 八三中全会后人事密集调整 涉中央地方多江和平:赛场外孙杨非常不职业 应表现三中全会后人事调整加强中央地方互动 美国驻外士兵回国急娶恋人 直接机场办中方坚决反对美国会相关委员会通过涉售中国首支救援队抵达菲律宾 将赴重灾区外交部发言人应询介绍第二轮中俄巴阿富印度主流调查杂志卷入性丑闻 主编承认李克强与欧盟领导人共同会见记者 介绍巴黎发生多起针对新闻媒体枪击案 或系英国苏格兰议会通过独立公投法案伊朗同意国际原子能机构核查其重水反应美参议院通过议案保护同性恋和变性人就多伦多市长吸食可卡因 只道歉拒辞职(医生举报副县长公款旅游 开发商10万新闻人物:格鲁吉亚当选总统马尔格韦拉泰国咖啡摊主因招牌与星巴克标志雷同被美“希望宝宝”案嫌犯致歉 否认曾有奸“倒阁”案是否达成目标?谢长廷:民进《雷神2》将引进内地 “洛基”首度访浙江余姚抗涝进行时:物资可供市民食用越南“红色拿破仑”去世德国火车站保存一装巨款行李箱 数月无宁波220千伏澄浪电力隧道全线贯通(叙政府军夺重镇保机场安全 战事僵局短阿博特宣誓就职澳洲总理 称将立即着手美俄达协议联合国报告将出炉 叙局势或韩海军新一代登陆舰下水 2015年投美篮球明星罗德曼结束朝鲜行 称与金正