支付宝重大漏洞，只需知道银行卡和手机号即可改密码

[dcsite]

详细描述一下：

公司同事说能进入我的支付宝，我不信，然后打赌。
两分钟后阿里巴巴发短信说密码已更改，这时我的淘宝和支付宝都被退出登陆。
交易记录和余额宝的余额信息被泄露就不用说了。

原因：
公司财务把工资卡号统一每三个月在部门群里截图出来核对。手机号就不用说了。

然后，同事开始互相改密码，然后挂失支付宝。

后续：
支付宝挂失后，第二天发现，只要刷脸解锁，然后会收到支付宝短信，输入验证码就可取消挂失。问题是，我从来没用过刷脸，连指纹支付都不敢设。这又是怎么一会事？

我不怕一千万，因为：我打过支付宝客服电话后，承诺会给我个说法，到现在（ 24 小时过去了）也没回复。我只是描述我的经历，没有任何虚假。

[P99LrYZVkZkg]

短信验证码呢？

[finab]

刚我同事在我没给任何帮助下的情况下，成功修改了我的密码。

[dcsite]

我也是~ 密码随便就被同事改了，还直接登录了~ 不说资金了，隐私全无~

TMD 支付宝~ 销号，能用微信就用微信吧

[dcsite]

@P99LrYZVkZkg 不需要任何验证码

[qinxi]

我通过同事的身份号也进入他的重置密码界面~

[P99LrYZVkZkg]

公司的财务不是知道全公司的银行卡+手机号？包括 boss 的？

[P99LrYZVkZkg]

@finab @dcsite 在新设备还是以前登陆过的设备？

[murmur]

都怪你们
现在不给玩了

[appppap]

还真是啊，随便点两张图片就能改密码了。

[finab]

@P99LrYZVkZkg 在他自己的手机上，方法是 ，输入我邮箱点找回密码，之后发手机验证码，点收不到，之后点 9 张图之一，里面有我同事，然后再点 9 张图，有我以前买的一个电高压锅，然后就可以设置新密码了。

[P99LrYZVkZkg]

@finab 修改以后在新设备登录需要手机确认么？

[dcsite]

@P99LrYZVkZkg 不需要验证，直接登录。我同事只知道我银行卡和手机号，就登录进去了。
已挂失，打客服电话，他们也不知道，只说向上面反馈然后给我答复。

[finab]

@P99LrYZVkZkg 没登录，但是看别人试了登陆的 好像没有。

[admol]

怎么操作的啊

[tghgffdgd]

是不是这种情况还会被归到熟人作案不赔偿？

[dcsite]

@tghgffdgd 是的，刚打客服电话，是这样解释的，说是因为你自已的身份信息泄漏导致的。

[justlikemaki]

@admol 退出登录，忘记密码

[Halry]

所以我把钱全部转到银行

[lihua1358]

@justlikemaki 同一台设备上实验没啥说服力吧

[justlikemaki]

@lihua1358 应该还有同 ip 的校验吧

[Baymaxbowen]

要是还玩社交那真的💊

[xvx]

不知道我这种支付宝没加过一个好友的账号，能不能这样重置密码呢。

[venster]

@Baymaxbowen 所以应该在朋友圈里赶紧说一下：马上删掉所有支付宝好友，要不然被盗了不赔偿。

[justlikemaki]

需要银行卡的验证也是要手机收银行的验证码的吧

[xycool]

准备好了两千万吗？

[loading]

新设备存在这个问题吗？

[chmlai]

支付宝不是号称大数据风控吗

[Baymaxbowen]

@venster 已经把钱全部转出来了，随他了，已经不打算在里面放钱了，不知道这波支付婊要亏多少

[iCyMind]

网友: BA 一直致力于让 T 成为一家受人尊敬的企业

[romotc]

@Halry 然而小额支付不需要密码，照样能从你卡里面取钱～
再也不敢鄙视那些不敢往支付宝、微信上绑定银行卡的人了...

[sneezry]

@murmur 这个是对方挂失了

[z742364692]

@dcsite 这肯定是自己的信息泄露嘛，怎么能怪支付宝，支付宝是粑粑啊，你们这些屁民真是的

[wolfan]

话说，这个，银行会不会用这个 Bug 把咱的小钱钱全转回银行？

[saggit]

支付钱包做社交有风险啊。

[Jimrussell]

你同事和你都连着公司的 WiFi 么？？

[onlyhot]

之前我发帖还没人理，淘宝小二可以直接冻结支付宝余额，而且支付宝账户明细看不到记录。我已经把钱全转到银行卡了

[Jimrussell]

@finab

[xfspace]

hhh ，阿里系全家桶采集了多少数据来保证这个“安全问题”。

[echopan]

我把支付宝挂失了 gg

[Infernalzero]

其实这事的性质和 61 的时候那个宝宝事件差不多，贵宝的产品经理太喜欢搞些刷存在感的功能而忘记了自己本应该干什么

[WenJimmy]

话说回来，怎么销号？

[salary123]

这哪门子漏洞，，早就知道可以这么做。

[buckyRRRR]

@salary123 这是产品经济傻逼

[zhtubo]

支付寶風控系統已升級.

[Quaintjade]

其实同一台设备上能操作并不算设计缺陷，因为设备指纹是一个验证因素，银行卡 /手机号 /过去购买的产品作为另外的验证因素，已经算是多因素验证了。

我上次裱支付宝是因为它曾经自己吹牛说，即便同一台设备只要使用者不同它都能分辨出来，然而并不能。
另一个就是它吹牛说自己还有保险能兜底，给用户虚假的安全感，然而许多条件都会导致“疑似熟人作案”不予理赔。

[hecter777]

那么问题来了，怎么彻底销号，然后渣宝还有什么方便的付款方式？

[zangev5]

支付宝已草拟好好多份 ten million 的起诉书。

[yukiww233]

要同一台设备
还要知道支付密码或是开小额免密...这和银行卡被人拿到还被知道密码好像也没多大区别

不过支付鸨推荐开小额免密确实是傻逼

[leavic]

支付宝是不是把原来做支付的团队都开掉了，让做社交团队的接手了？

[leavic]

为了更好提升用户的安全感，在接到网友反映后，我们于今日上午进一步提高了风控系统的安全等级。目前仅在用户自己的手机上，才能通过识别近期购买商品以及识别本人好友来找回登录密码，通过其他手机设备是无法应用这一方式找回登录密码的。
===============
呵呵，我回头看看支付宝怎么销号，反正现在京东用得多了。

[lc4t]

2 年前发现了淘宝和支付宝都有这个问题..算是个社工可破的逻辑缺陷.. 然后并不改

[SuperMild]

我还是相信支付宝，因为它在风口浪尖，有 bug 马上被闹得沸沸扬扬，然后 bug 就被修复了，我感觉这也是安全啊。

[hackpro]

r#49 @leavic NoNoNo ，开掉的不是做支付的，开掉的是做安全的抢月饼的

[Ouyangan]

支付宝 , 很脑残的产品 , 不再信任了.

[trythebest]

哈哈，月饼事件呢位安全兄弟说，后悔了吧，出事了吧。

[imn1]

@trythebest
支付宝：三个月后又是一条好汉，你们哪次嚷嚷有超过三个月的，上次全部去打一星也就几十天而已，成不了气候。下架我都不怕，还怕嚷嚷么？

[benmao]

不信任就不要用。。天天就会瞎 BB

[cheny95]

[Quaintjade]

@yukiww233
从支付宝自己的公告来看，应该是今天才改成限同设备的，之前好像是加了好友的都可以用这方法。小额免密应该有许多人开着，毕竟支付宝自己是推荐开的。

[Doubear]

@cheny95 莫名喜感……😄

[daniellu]

某乎很多人早试过了，不同网络，不同平台，不同手机，都可以的，只是很多人知道的晚，据说早上 10 点之后，就不能简单的点好友或者点买过的东西直接进去了。其它方式应该还是有逻辑漏洞的。

[KirkZheng]

自从变成支付婊果断弃用，要么现金，要么微信，一个支付工具那么多乱七八糟的功能。实名认证取消不了让我有点没安全感。

[ichigo]

iv2ex 不用支付宝不是政治正确吗，不是很多人早就根本不用支付宝吗，为什么还是这么多人出来又声称一遍卸载支付宝？难道之前的卸载又装回去了吗？这是诈尸吗？

[honeycomb]

@ichigo
--iv2ex 不用支付宝不是政治正确吗？

应该是的

--不是很多人早就根本不用支付宝吗？

应该是的

--什么还是这么多人出来又声称一遍卸载支付宝？
这是个新人

--难道之前的卸载又装回去了吗？
新人之前并未卸载过

--这是诈尸吗？
因此不像是诈尸

[cos]

所以说，网络支付工具还是别绑定银行卡，别存现金，支付时通过网银付款。当然，搞了实名认证的，仍存在风险，那就是花呗之类的贷款工具。。。。

[ichubei]

支付密码和登录密码不同

[taoyu1994x]

@finab 不过只是登录支付宝吧？如果要支付还是要支付密码

[peneazy]

还有啥安全的互联网产品。。

[mingyun]

吓得我赶紧把支付宝卸载了

[ooh]

我记得支付宝好像有个验证码是要找出下面哪个是你认识的人，我只想对想出这个招数的 PM 说一句 nmb ，反正我记忆里我一次都没有找到哪个是我认识的人

[FreeDog]

@leavic 昨天连上地铁公共 Wi-Fi 时不小心打开了京东金融，发现余额以及赎回页面被插入小广告了。。可见还是 HTTP 的页面，可以被拦截和篡改，这也太不安全了。

[m939594960]

@benmao 这和你行你上的观点有什么区别？真的弱智。

[benmao]

@m939594960 就你不弱智 你聪明的猪脑袋怎么没看你去阿狸那里解决实际问题

[dcsite]

@z742364692 银行卡和手机号能有多隐私？我承认很多人都知道我这两个信息。

[z742364692]

@dcsite 回复这个干嘛啊,看看就过去了嘛

[m939594960]

@benmao 呵呵，我用个东西还得想怎么帮这个东西解决实际问题？

[benmao]

@m939594960 多嘴不是你的错 臭嘴就是你的错喽 是不是小学基础素质教育没学好？跑这里来喷粪了？

[m939594960]

@benmao
第一：你的账号应该是降权了，应该没少被人 block ，你 @ 我我根本收不到，还得到帖子里来找。

第二：是你先臭嘴的。


我觉得这个 APP 不行我还不能说了？还不能讨论了？还不能让他改进了？我非得自己做出来一个？你这思维弱智就弱智吧，你还说别人瞎 BB 。

[Khlieb]

看样子阿里表面上为安全下大力气，实际却在捞钱上下的功夫远比真正投入到客户安全上面的多

[benmao]

@m939594960 无脑男 估计也就说的你这种 喷子越来越多 回家多补点钙粉

[m939594960]

@benmao 哈哈 谁是喷子，谁无脑？你可真的搞笑啊。

[yueloong]

保价不是卖家的事吗？买家扫什么码！