支付宝可篡改熟人密码?回应:仅特定情况才会实现_网易科技
支付宝可篡改熟人密码?回应:仅特定情况才会实现
用微信扫码二维码
分享至好友和朋友圈
（原标题：null）
网易科技讯1月9日消息，今日凌晨有网友在微信群称支付宝可以更改别人的密码，甚至可以不用别人原密码直接用手机号就可以更改。对此，支付宝方面向网易科技表示，这一方式仅在特定情况下才会实现。通常情况下，用户找回登录密码至少需要输入手机短信验证码。对于部分暂时无法收到短信的用户或者更换移动设备的用户，我们的风控系统会先进行评估（比如账户信息完整程度、网络环境等因素）。在安全系数较高的情况下，才让用户回答一系列安全问题，只有在回答正确后，才能修改登录密码。按照网友的说法，支付宝的漏洞原理如下：支付宝APP登录——选择“忘记密码”——选择“手机不在身边”——这时支付宝会让你选择“淘宝买过的东西”（9张图片选1个）——“你可能认识的人”（9个好友选1个）——如果选择对就可以重置密码。因此，若是陌生人，则有八十一分之一的机会登陆你的支付宝，而对方若是熟人，则有百分之百的机会登陆你的支付宝。对此，支付宝方面表示，这一策略只能找回登录密码，仅通过回答安全问题并无法找回支付密码。且一旦用户支付宝在其他设备被登录，本人设备会收到通知提醒。（韦青青青）以下为支付宝方面的回应：我们接到网友反映，称可以通过识别好友、识别近期购买物品，来找回支付宝登录密码。
这一方式仅在特定情况下才会实现。通常情况下，用户找回登录密码至少需要输入手机短信验证码。对于部分暂时无法收到短信的用户或者更换移动设备的用户，我们的风控系统会先进行评估（比如账户信息完整程度、网络环境等因素）。在安全系数较高的情况下，才让用户回答一系列安全问题，只有在回答正确后，才能修改登录密码。这一策略只能找回登录密码，仅通过回答安全问题并无法找回支付密码。且一旦用户支付宝在其他设备被登录，本人设备会收到通知提醒。为了更好提升用户的安全感，在接到网友反映后，我们于今日上午进一步提高了风控系统的安全等级。目前仅在用户自己的手机上，才能通过识别近期购买商品以及识别本人好友来找回登录密码，通过其他手机设备是无法应用这一方式找回登录密码的。我们也欢迎用户继续对我们的安全策略提出意见和建议，我们会根据大家的反馈进一步完善和修正。
本文来源：网易科技报道
作者：null
责任编辑：张洁_NT5630
用微信扫码二维码
分享至好友和朋友圈
加载更多新闻
热门产品:　　　
:　　　　　　　　
:　　　　　　　　　
热门影院：
阅读下一篇
用微信扫描二维码
分享至好友和朋友圈如果你的支付宝在你不知情的情况被别人更改了密码，还能免密码支付？请问你的心情如何？这个问题从昨晚（1月10日）开始，横亘在每一个支付宝用户的心头。据悉，从昨晚开始，有网友反映，只需要几个步骤，你就可以操控别人的支付宝了。这简直堪比科幻大片：1.打开支付宝登录界面，输入帐号后点击忘记密码2.输入帐号后直接点无法接收短信3.这里有很多验证方式，选择你所知道的方式，熟人验证，你知道的朋友信息4.更改密码，原密码直接忘记，直接更改5.修改完直接登入账户，拥有全部功能，且支持免密支付这个问题迅速发酵，随后虎嗅多位同事在第一时间进行了测试，发现目前这个问题已经修复，无法按照上述步骤篡改别人的密码，帮别人花对方支付宝的钱。在撬动了2016年百度各种问题的第一阵地——知乎上，有网友迅速建立了一个讨论：如何看待支付宝1月10日被曝光的非密码登录模式下可能出现的账户安全风险？在下面的讨论中，一位自称是阿里员工的网友“winter”说：这个问题我10几天前就在内网反馈过了，后来支付宝的人解释了一下情况没大家想的那么糟，据说是有环境判断的，/*支付宝同学要求不要说具体安全策略，这段删掉，总之是有环境判断的*/，另外还有支付密码，所以即使盗了最多刷走点小额，以及搞个朋友圈行骗之类的。支付宝同学认为这不是bug，据说是为了平衡体验和安全性（黑人问号脸），然而支付宝存几十万的我，表示最好是让我生成RSA我自己持有私钥支付宝服务器拿公钥，这样体验最好。而另一位阿里前员工，显示是“资深网络安全研究人员，默安科技CTO”的网友“云舒”也跟帖称：支付宝这个，确实有问题，不过上午已经修复了。而且类似的事情，以前就出现过，我还在阿里的时候就跟一个叫jason的SB&VP吵过架，我说是漏洞他们team说不是，有邮件为证——当然我现在看不到阿里的邮件了。我坚信，类似的风控问题还会继续出。首先因为对安全的理念，我们安全人员看案例，他们业务人员看概率。其次，技术发展方向，他们为了使用方便，太信任机器学习模型，太信任基于风控的控制，而忽视了传统技术层面的强控制。虎嗅就此时联系支付宝的工作人员，对方表示目前正在解决，随后他们给了我一份回应：我们接到网友反映，称可以通过识别好友、识别近期购买物品，来找回支付宝登录密码。这一方式仅在特定情况下才会实现。通常情况下，用户找回登录密码至少需要输入手机短信验证码。对于部分暂时无法收到短信的用户或者更换移动设备的用户，我们的风控系统会先进行评估（比如账户信息完整程度、网络环境等因素）。在安全系数较高的情况下，才让用户回答一系列安全问题，只有在回答正确后，才能修改登录密码。这一策略只能找回登录密码，仅通过回答安全问题并无法找回支付密码。且一旦用户支付宝在其他设备被登录，本人设备会收到通知提醒。为了更好提升用户的安全感，在接到网友反映后，我们于今日上午进一步提高了风控系统的安全等级。目前仅在用户自己的手机上，才能通过识别近期购买商品以及识别本人好友来找回登录密码，通过其他手机设备是无法应用这一方式找回登录密码的。我们也欢迎用户继续对我们的安全策略提出意见和建议，我们会根据大家的反馈进一步完善和修正。但目前最好的办法是，要么你把支付宝里的余额宝里的钱先转到银行卡里，然后将银行卡跟支付宝绑定。同时，建议你修改支付宝密码。
投诉欺诈商家:
天津重庆哈尔滨沈阳长春石家庄呼和浩特西安太原兰州乌鲁木齐成都昆明贵阳长沙武汉郑州济南青岛烟台合肥南京杭州东莞南宁南昌福州厦门深圳温州佛山宁波泉州惠州银川
本城市下暂无经销商
下载中关村在线Android 客户端
下载中关村在线 iPhone 客户端
下载中关村在线Windows8客户端
成为中关村在线微信好友}