鈦媒體注：今天在朋友圈的又傳瘋了一條阿里巴巴的壞消息——支付寶出現(xiàn)了重大的漏洞，熟人在知曉你的支付寶個(gè)人信息后，可以通過“找回密碼”功能登錄并篡改支付寶密碼。網(wǎng)上曝光的支付寶漏洞原理如下：
在打開支付寶登錄界面，輸入帳號(hào)后點(diǎn)擊忘記密碼，在重置登錄密碼中選擇無法接受短信，然后通過個(gè)人信息驗(yàn)證即可“重置登錄密碼”。其中個(gè)人信息可能是識(shí)別好友、識(shí)別近期購買物品、真實(shí)姓名和身份證號(hào)等，比如：
淘寶買過的東西9張圖片選1個(gè)，或者好友驗(yàn)證9個(gè)好友圖片選1個(gè)，選擇正確便會(huì)登錄成功。這時(shí)就可以直接掃二維碼付款不用密碼。
而根據(jù)網(wǎng)友的測試，陌生人有五分之一的機(jī)會(huì)登錄你的支付寶，而熟人則有百分之百的機(jī)會(huì)登錄你的支付寶。
在本次漏洞發(fā)生不久之后，支付寶通過“螞蟻神盾局”微博發(fā)出了聲明：
我們接到網(wǎng)友反映，稱可以通過識(shí)別好友、識(shí)別近期購買物品，來找回支付寶登錄密碼。
這一方式僅在特定情況下才會(huì)實(shí)現(xiàn)。通常情況下，用戶找回登錄密碼至少需要輸入手機(jī)短信驗(yàn)證碼。對(duì)于部分暫時(shí)無法收到短信的用戶或者更換移動(dòng)設(shè)備的用戶，我們的風(fēng)控系統(tǒng)會(huì)先進(jìn)行評(píng)估（比如賬戶信息完整程度、網(wǎng)絡(luò)環(huán)境等因素）。在安全系數(shù)較高的情況下，才讓用戶回答一系列安全問題，只有在回答正確后，才能修改登錄密碼。
這一策略只能找回登錄密碼，僅通過回答安全問題并無法找回支付密碼。且一旦用戶支付寶在其他設(shè)備被登錄，本人設(shè)備會(huì)收到通知提醒。
為了更好提升用戶的安全感，在接到網(wǎng)友反映后，我們于今日上午進(jìn)一步提高了風(fēng)控系統(tǒng)的安全等級(jí)。目前僅在用戶自己的手機(jī)上，才能通過識(shí)別近期購買商品以及識(shí)別本人好友來找回登錄密碼，通過其他手機(jī)設(shè)備是無法應(yīng)用這一方式找回登錄密碼的。
我們也歡迎用戶繼續(xù)對(duì)我們的安全策略提出意見和建議，我們會(huì)根據(jù)大家的反饋進(jìn)一步完善和修正。
支付寶官方微博也在第一時(shí)間轉(zhuǎn)發(fā)了這條微博，并聲稱，
為了更好提升用戶的安全感，在接到網(wǎng)友反映后，我們于今日上午進(jìn)一步提高了風(fēng)控系統(tǒng)的安全等級(jí)。目前僅在用戶自己的手機(jī)上，才能通過識(shí)別近期購買商品以及識(shí)別本人好友來找回登錄密碼，通過其他手機(jī)設(shè)備是無法應(yīng)用這一方式找回登錄密碼的。
作為中國人最常用的“手機(jī)錢包”之一，支付寶的各種行為與表現(xiàn)都會(huì)被無限的放大與分析。既有支付寶VR紅包這樣被捧上天的PR舉動(dòng)，有2016年全年賬單一出現(xiàn)便刷爆朋友圈的事件，也就有上線生活圈被罵支付寶轉(zhuǎn)型陌陌行為。
在今年的六月一號(hào)，支付寶曾經(jīng)強(qiáng)迫所有的用戶來過兒童節(jié)，在每一位用戶名稱的背后都強(qiáng)制加上了“寶寶”的稱謂，這引起了廣大網(wǎng)友的抵觸：
不告知就改名，還以為賬戶被黑了。今天能改我的名，明天會(huì)不會(huì)改我的余額；平時(shí)那么多人要認(rèn)馬云當(dāng)爸爸，現(xiàn)在人家終于稱呼你為寶寶了，又有人不樂意了；更惡心的是，這兩個(gè)字還沒法刪除，6.1-6.5號(hào)部分服務(wù)器升級(jí)暫時(shí)無法修改頭像、昵稱；……
作為一款涉及到支付、交易的軟件，最重要的是什么？
安全。
現(xiàn)在沒有出現(xiàn)未經(jīng)用戶許可，便擅自修改用戶名稱，用戶還無法操作的事情。但是這樣的漏洞出現(xiàn)，也無疑給支付寶的安全問題，打上了巨大的陰影。
阿里巴巴原本就是一家“業(yè)務(wù)決定論”的公司，在阿里的內(nèi)部技術(shù)人員的決定也并非是“最高指示”。在知乎上《如何看待支付寶 1 月 10 日被曝光的非密碼登錄模式下可能出現(xiàn)的賬戶安全風(fēng)險(xiǎn)？》的話題下，有一個(gè)ID為云舒的用戶這樣講，
首先因?yàn)閷?duì)安全的理念，我們安全人員看案例，他們業(yè)務(wù)人員看概率。其次，技術(shù)發(fā)展方向，他們?yōu)榱耸褂梅奖?，太信任機(jī)器學(xué)習(xí)模型，太信任基于風(fēng)控的控制，而忽視了傳統(tǒng)技術(shù)層面的強(qiáng)控制。
也許大體能解釋這樣的事情為何會(huì)發(fā)生。（鈦媒體編輯張霖整理報(bào)道）
快報(bào)
根據(jù)《網(wǎng)絡(luò)安全法》實(shí)名制要求，請(qǐng)綁定手機(jī)號(hào)后發(fā)表評(píng)論
密碼這東西早就該拋棄了，所以才會(huì)有免密登錄、短信驗(yàn)證碼登錄這些玩意兒的誕生
嚇?biāo)缹殞毩粟s緊提現(xiàn)
問題不小啊。
仍然很擔(dān)心