支付宝90重置密码功能存在缺陷可轻易修改

2019-01-31 06:45:24 来源: 赣州信息港

支付宝9.0重置密码功能存在缺陷,可轻易修改任意用户密码

众所周知,在支付宝新升级的9.0版本中取消了用户手势密码的设置,转变为大数据风控保护。如果用户不具备指纹解锁功能,那么在其上支付宝账户可以直接被访问。

这个修改遭到了不少友的吐槽和质疑,很多人担心会因此泄露自己的淘宝购买记录和日常生活消费记录,同时还有人担心这样会增加熟人作案的风险,一旦有人拿到了你的,通过小额支付功能便可以转走或者消费一部分钱。

当然支付宝也有自己的说法,支付宝称自己通过多年积攒的大数据来通过用户行为分析进行身份认证,当不是本人在使用时,支付宝可以通过细小的行为习惯上的区别来判断。

然而这个宣称甚至每一次敲击屏幕都是安全考验的安全体系貌似并没有那么神。在昨天中午,FreeBuf创始人pnig0s在微博吐槽,支付宝9.0的重置密码功能存在逻辑问题,只需要知道用户身份证号便可以重置其登录密码,并且称朋友圈里一票人的密码都被重置了。

立刻进行了验证,选择了一个关系较好的大学同学的支付宝,在登录界面点击登录遇到问题,输入其支付宝账号

这时系统会显示已经将校验码发送到上,我们点击下面的无法接收短信,然后弹出来了一个页,让选择那几个是认识的朋友,看到这里真的笑出来了,这安全做的脑洞确实有点大,如果和那人比较熟悉应该都可以轻松选出来。

不过虽然我和他是大学同学,但是还是有一个人不知道如何选择,尝试了三次之后都失败了。但是令我更惊讶的事情出现了,支付宝直接提示请输入身份证号完成验证。

无语了3分钟,只需要知道身份证号便可以修改其支付宝密码?想到之前给他买过火车票,登录12306查到了这位同学的身份证号,然后便顺利的修改了这位同学的支付宝登录密码。

通过支付宝顺利的看到了他的历史交易记录、聊天记录。没有受到任何异地登录或者不是账户主人的限制,之前支付宝声称的大数据风控好像并没有起到什么作用。

同时,通过提供的通过支付宝登录接口,顺利登录了这位同学的淘宝账户。

在几个小时后,支付宝修复了这个安全问题。不过还是对这个大数据风控抱有怀疑态度,他真的可以通过行为特征区分是不是本人吗?

于是又做了一个测试,把交给同部门的源姐,让她用的给自己转账,是一个人高马大的胖子,而源姐是一个萌萌的妹子,无论是手指的大小、按压力度、以及使用习惯都是完全不同的,然而源姐还是顺利的利用小额免密码支付从的账户里转走了钱。

既然不是本人也可以轻易转走账户资金,不禁对这套安全体系产生了怀疑,支付宝会不会在外界的压力下重新增加手势密码的功能呢?我们也只能观望了。

济宁市喷漆房厂家
吉林省黑枸杞苗
监控塔公司
本文标签: