盜刷者可能利用免密支付漏洞

單次額度內(nèi)多次扣費

記者登錄蘋果手機賬戶，查看付款方式的設(shè)置，發(fā)現(xiàn)目前蘋果提供的付款方式有支付寶、微信支付、銀行卡、快捷支付等。記者綁定的是支付寶賬戶，賬戶下方有一行“如需重新綁定請輕點此處”的選項，但點擊跳轉(zhuǎn)后，顯示的界面為“同意免密扣款授權(quán)協(xié)議并開通”，為何重新綁定賬戶變成了同意免密支付?

而如何控制付款額度?授權(quán)額度和次數(shù)默認(rèn)又是多少?公告又在哪里?不少受害者表示不清楚。

支付寶如此介紹免密支付功能：蘋果設(shè)備上充值視頻網(wǎng)站VIP會員、購買游戲道具或其他付費項目時，將通過支付寶自動完成支付，“百萬APP和游戲一觸即得”。這些功能與受害者們的經(jīng)歷頗為重合，比如，被盜刷的付費項目多用于名不見經(jīng)傳的游戲充值，或者受害者此前使用過免密支付/自動扣款的訂閱服務(wù)。

從實際損失看，盜刷者的單次盜刷金額基本不會超過2000元，可見極有可能盜刷者是利用免密支付的漏洞，通過單次額度內(nèi)多次扣費進行“盜刷”。

蘋果ID賬號被盜

第三方支付賬戶也遭殃

記者從支付寶方面了解到，目前手機賬號被盜導(dǎo)致關(guān)聯(lián)支付賬號被盜刷的情況只發(fā)生在蘋果手機，安卓手機沒有這個問題。

蘋果的商店購買付費APP或產(chǎn)生其他消費，都需要綁定付款方式，目前蘋果的付款方式包含了銀行卡、支付寶、微信支付和快捷支付。

有支付行業(yè)資深從業(yè)人員告訴記者，這次事件因為蘋果ID賬號被盜，進而在蘋果商店(Apple Store)里消費，綁定任何的支付方式，只要是免密的，都可能被盜刷。

這幾年中國的移動支付飛速發(fā)展，用戶喜歡使用移動支付很大的原因是方便，一部手機掃一掃就能完成付款。為了讓這種方便更進一步，支付寶和微信支付都推出了小額免密功能，只要在用戶設(shè)定的額度范圍內(nèi)，連支付密碼都不用輸入就能自動扣款。

據(jù)支付寶方面解釋，免密支付最初是為了簡化淘寶用戶網(wǎng)購支付的步驟。但隨著移動支付的使用場景越來越多，類似蘋果商城、視頻APP、打車軟件都在接入支付寶和微信作為支付方式，而免密支付在這些軟件中演化為代扣功能，類似打車不用輸密碼就能自動扣款的場景越來越多。

支付寶建議

開啟“雙重認(rèn)證”+“安全月限額”

一名從事網(wǎng)絡(luò)安全與優(yōu)化的業(yè)內(nèi)人士告訴記者：盜刷本質(zhì)上還是賬號、密碼被盜導(dǎo)致。當(dāng)然，支付平臺和蘋果公司有義務(wù)在提供免密支付功能時，給用戶提供明確的支付額度、頻次的選項，在授權(quán)前增設(shè)一道加密措施，給用戶的財產(chǎn)安全增加一道防線。

“我們有指紋支付和刷臉支付，從目前的交易數(shù)據(jù)上來看，我們的用戶通過支付寶APP完成交易的，一半以上用的是指紋支付。但免密支付/自動扣款目前都是不需要指紋或刷臉的。”支付寶方面說。

支付寶在回應(yīng)記者時強調(diào)，這次蘋果手機用戶的ID賬號被盜，但用戶的支付寶賬號還是完好的，并沒有被破解。“如果是支付寶賬號被盜，我們可以賠償用戶的損失，但這次主要責(zé)任不在支付平臺。”

上述支付行業(yè)的專家建議，用戶應(yīng)當(dāng)留心各平臺之間賬號信息的授權(quán)行為及協(xié)議，盡量減少同賬號密碼的多平臺使用，留意免密支付開通的協(xié)議及更新內(nèi)容，管理好自己的免密支付額度和頻次限額，盡量少用或不用免密支付和代扣。建議用戶，在設(shè)置相對復(fù)雜的賬號和密碼之外，應(yīng)當(dāng)留心各平臺之間賬號信息的授權(quán)行為及協(xié)議，盡量減少同賬號密碼的多平臺使用，留意免密支付開通的協(xié)議及更新內(nèi)容，管理好自己的免密支付額度和頻次限額。

目前支付寶官方給出的建議是：開啟“雙重認(rèn)證”+“安全月限額”。

小貼士

免密支付賬戶如何限額或關(guān)閉

支付寶賬戶在支付寶APP里,點擊【我的】-【設(shè)置】-【支付設(shè)置】-【免密支付/自動扣款】-【 App Store, Apple Music,&iCloud】-【安全月限額】設(shè)定符合自己安全預(yù)期的月度限額。

微信賬戶 1.選擇微信【我】-【錢包】-點擊右上角的四宮格圖標(biāo)-【支付中心】-【支付管理】-【自動扣費】-選擇【已簽約項目】逐個關(guān)閉服務(wù)即可。

2.搜索并打開【微信支付】公眾號，輸入【自動扣款】，點擊系統(tǒng)回復(fù)的消息中的【點這里】，即可查看所有的自動扣費授權(quán)。如果有不再需要的扣費，你可以點擊查看詳情，然后在接下來的頁面中關(guān)閉該服務(wù)。