出門(mén)打車(chē)、買(mǎi)電影票甚至到便利店買(mǎi)包子都可以用手機(jī)付款，智能手機(jī)在人們?nèi)粘Ｉ钪械墓δ茉絹?lái)越多樣。不過(guò)也有人擔(dān)心，如果自己的手機(jī)丟了，而這部手機(jī)又恰好和相關(guān)銀行卡以及支付寶綁定，那么撿到手機(jī)的人是不是就可以通過(guò)手機(jī)驗(yàn)證碼能查找到銀行卡和支付寶的密碼，從而盜取帳戶(hù)上的資金。那么這樣的風(fēng)險(xiǎn)究竟有多大？手機(jī)用戶(hù)該如何防范？央視財(cái)經(jīng)《經(jīng)濟(jì)半小時(shí)》的記者就此展開(kāi)了調(diào)查。
點(diǎn)開(kāi)各大門(mén)戶(hù)網(wǎng)站的論壇，這篇題目叫“驚悚實(shí)驗(yàn)：支付寶關(guān)聯(lián)了銀行卡如果手機(jī)丟了會(huì)發(fā)生什么”的網(wǎng)帖隨處可見(jiàn)，對(duì)于手機(jī)丟失后，移動(dòng)端的資金安全，這篇文章是這樣描述的：只要按網(wǎng)帖提示操作，很容易就能破解支付寶賬號(hào)和密碼，甚至能輕松把支付寶上的金額轉(zhuǎn)到任意卡上。記者注意到，一些網(wǎng)友在跟帖中表達(dá)了這樣的擔(dān)心：手機(jī)開(kāi)通支付功能目前確實(shí)極不安全，按照網(wǎng)貼提示操作確實(shí)可以為所欲為等等，但也有網(wǎng)友表示實(shí)驗(yàn)并不成立。盡管討論得極為熱烈，但記者觀察到，對(duì)于手機(jī)支付的安全問(wèn)題，網(wǎng)絡(luò)上的言論都集中在了猜測(cè)和懷疑上，對(duì)于具體手機(jī)資金被盜竊的案例，記者翻閱了多篇網(wǎng)頁(yè)留言，也通過(guò)專(zhuān)業(yè)的搜索方式，始終沒(méi)有找到。網(wǎng)上在熱炒手機(jī)支付安全的話(huà)題，現(xiàn)實(shí)生活中的消費(fèi)者，是不是也在討論這個(gè)話(huà)題呢？2月24日，記者分別在北京的西單、公主墳等商業(yè)區(qū)進(jìn)行了街頭調(diào)查。
記者隨機(jī)采訪的22人中，有20人表示了解移動(dòng)支付，有14人表示正在使用移動(dòng)支付。但這些消費(fèi)者基本都是青年，中年的消費(fèi)者，記者隨機(jī)詢(xún)問(wèn)的老年消費(fèi)者，基本都表示不了解手機(jī)支付的方式，有的甚至根本都沒(méi)有聽(tīng)說(shuō)過(guò)手機(jī)支付這個(gè)名詞，而在對(duì)年輕消費(fèi)者的采訪中，更多年輕的消費(fèi)者不僅是在使用手機(jī)支付方式，更多的甚至把手機(jī)支付視作一種時(shí)髦的生活方式在對(duì)待。
移動(dòng)支付業(yè)務(wù)最早出現(xiàn)于上世紀(jì)90年代初的美國(guó)，隨著在韓國(guó)和日本出現(xiàn)迅速發(fā)展，我國(guó)移動(dòng)支付最早出現(xiàn)在1999年，但在2009年中國(guó)三大電信運(yùn)營(yíng)商大力上馬3G后，移動(dòng)支付才進(jìn)入了飛速發(fā)展期， 2011年5月18日，中國(guó)人民銀行向支付寶等27家機(jī)構(gòu)下發(fā)“非金融機(jī)構(gòu)支付業(yè)務(wù)許可”，首批牌照發(fā)放讓移動(dòng)支付迅猛發(fā)展，支付寶迅速成為全球用戶(hù)數(shù)最多支付平臺(tái)。 2013年7月，中國(guó)人民銀行發(fā)放第七批第三方支付牌照，總計(jì)牌照發(fā)放達(dá)到250張，移動(dòng)支付進(jìn)入爆發(fā)式增長(zhǎng)。中國(guó)人民銀行數(shù)據(jù)顯示，在中國(guó)，2009年手機(jī)支付交易規(guī)模達(dá)到19.74億元人民幣，同比增長(zhǎng)202%， 到了2013年，共發(fā)生電子支付業(yè)務(wù)257.83億筆，金額1075.16萬(wàn)億元人民幣，同比分別增長(zhǎng)27.4%和29.46%。
手機(jī)丟失你的錢(qián)也會(huì)不翼而飛嗎？
對(duì)于手機(jī)丟失后會(huì)發(fā)生什么，手機(jī)丟失后我們到底該怎么辦，許多手機(jī)用戶(hù)都心里沒(méi)底，那么專(zhuān)業(yè)機(jī)構(gòu)和相關(guān)部門(mén)又是如何看待這種擔(dān)心的呢？
在記者查閱的這篇“支付寶關(guān)聯(lián)了銀行卡如果手機(jī)丟了會(huì)發(fā)生什么”的網(wǎng)帖中，作者對(duì)于手機(jī)支付的安全，始終在進(jìn)行著含混的描述，文章中描述，在拿到其他人的手機(jī)后，只需簡(jiǎn)單操作，任何人都有可能破解支付寶密碼，盜空支付寶賬戶(hù)。對(duì)于作者說(shuō)的簡(jiǎn)單操作，在文章里設(shè)計(jì)了多項(xiàng)前提條件，而在跟貼中，也有網(wǎng)友稱(chēng)，在按照網(wǎng)貼所說(shuō)模擬操作后，確實(shí)能夠破解手機(jī)的某些功能。那么，手機(jī)丟失后，按照文章說(shuō)的這些方法，是不是就能順利的把手機(jī)支付軟件里的資金盜取出來(lái)呢？記者找到了國(guó)內(nèi)最為專(zhuān)業(yè)的網(wǎng)絡(luò)安全公司。
與研究員一起做移動(dòng)支付是否安全的實(shí)驗(yàn)
這個(gè)研究員叫申迪，是某公司專(zhuān)職研究移動(dòng)支付安全的研究員。在兩年前，某公司公司就對(duì)手機(jī)支付的安全問(wèn)題，進(jìn)行了系統(tǒng)性的研究，隨著各種支付手段在手機(jī)上的應(yīng)用，研究人員現(xiàn)在的工作量成倍的增加，每天展開(kāi)的內(nèi)部測(cè)試實(shí)驗(yàn)很多，對(duì)于記者提出的疑問(wèn)，申迪表示，公司要求一切的安全問(wèn)題必須要進(jìn)行實(shí)際測(cè)試實(shí)驗(yàn)，有真實(shí)的測(cè)試，才能得出手機(jī)支付安全的報(bào)告。經(jīng)公司同意后，申迪開(kāi)始協(xié)助記者進(jìn)行模擬手機(jī)丟失后，手機(jī)支付軟件可能發(fā)生的各種情況。
微信支付安全測(cè)試
申迪：不需要任何手段，只要你拿到手機(jī)，并且把開(kāi)機(jī)密碼解鎖解掉了，進(jìn)入手機(jī)之后，你打開(kāi)微信，是不需要輸入任何密碼的。那么看一下這個(gè)銀行卡界面，下一步他就嘗試修改這個(gè)密碼。
記者看到，真實(shí)的測(cè)試中，如果你丟失手機(jī)里的微信綁定了銀行卡的話(huà)，別人通過(guò)登陸你的微信，確實(shí)就能夠直接進(jìn)入你綁定的銀行卡界面，第二步，研究人員開(kāi)始測(cè)試能否對(duì)于銀行卡的資金進(jìn)行轉(zhuǎn)移。
申迪：就是說(shuō)他希望把自己的錢(qián)，轉(zhuǎn)換成Q幣，就是虛擬貨幣，這時(shí)候就需要輸入它的這個(gè)支付密碼才可以，支付密碼是微信獨(dú)有的，那他肯定是不知道這個(gè)密碼，那這時(shí)候輸入就會(huì)失敗，然后他就會(huì)想辦法去假裝成忘記密碼，然后去修改。
研究人員首先嘗試通過(guò)丟失手機(jī)上綁定的銀行卡，進(jìn)行購(gòu)買(mǎi)虛擬貨幣，但馬上碰到的難題，就是需要輸入交易密碼，這個(gè)密碼通過(guò)手機(jī)能否進(jìn)行修改呢？
申迪：那么它會(huì)提供兩種方式，這兩種方式就是綁定的這兩個(gè)銀行卡，它會(huì)要求你重新綁定，這樣才能找到密碼。其實(shí)這里面需要的信息是非常豐富的，比如說(shuō)它需要你知道本人銀行卡號(hào)，對(duì)于攻擊者來(lái)說(shuō)，在通常情況下是不可能知道這個(gè)卡號(hào)的，所以這個(gè)情況下就沒(méi)有辦法輸入了。而且下面不僅需要卡號(hào)，還需要其它信息，比如說(shuō)持卡人姓名。然后證件號(hào)碼，包括手機(jī)號(hào)，那可能這個(gè)手機(jī)號(hào)是攻擊者唯一知道的這個(gè)信息。
微信修改支付密碼需要的信息
研究人員告訴記者，按照銀行通行的慣例，手機(jī)持有者提出修改銀行卡密碼的要求，必須填寫(xiě)正確的身份證號(hào)碼以及銀行的卡號(hào)，這對(duì)于撿拾手機(jī)的人而言通常來(lái)說(shuō)很難實(shí)現(xiàn)。但是申迪強(qiáng)調(diào)，如果消費(fèi)者是丟了一個(gè)包，你的身份證、銀行卡與手機(jī)一起丟失的話(huà)，就意味著你綁定在手機(jī)上的銀行卡密碼就能夠被修改，綁定的資金在理論上有可能被轉(zhuǎn)移。但如果沒(méi)有這些前提條件，單純的只是丟失了手機(jī)，違法人員是無(wú)法僅憑一部手機(jī)，盜取你銀行資金的。
支付寶支付安全測(cè)試
申迪：支付寶一般之前開(kāi)始的時(shí)候，會(huì)有這樣的一個(gè)解鎖界面，就是它有一個(gè)圖形解鎖，但是對(duì)于攻擊者來(lái)說(shuō)，肯定不知道這個(gè)界面，第一步就要選擇忘記這個(gè)手勢(shì)密碼。那比如說(shuō)對(duì)于攻擊者來(lái)說(shuō)，肯定就不知道這個(gè)界面，所以他選擇忘記手勢(shì)密碼，他當(dāng)然點(diǎn)擊這個(gè)時(shí)候，就會(huì)進(jìn)入到下一步界面。這時(shí)候支付寶就提示重新登錄。然后這個(gè)時(shí)候，就可以輸入數(shù)字類(lèi)型的密碼了，這個(gè)密碼他當(dāng)然也不知道了。
相比較微信綁定銀行卡的程序，支付寶在一開(kāi)始登陸的時(shí)候，就需要用戶(hù)輸入密碼，雖然安全程度和復(fù)雜程度更高，但這個(gè)密碼是否又能夠被破解呢？
申迪：比如說(shuō)需要知道帳戶(hù)名，你看我們?cè)诔跏冀缑娴臅r(shí)候，其實(shí)這個(gè)帳戶(hù)名是被隱藏了一部分的，并不是一個(gè)完整帳戶(hù)名，那么就需要點(diǎn)擊忘記密碼，需要一個(gè)完整的用戶(hù)名，當(dāng)然很有可能是一個(gè)手機(jī)號(hào)，所以這一步是可以繞過(guò)的，那比如說(shuō)我現(xiàn)在輸入一個(gè)本機(jī)的手機(jī)號(hào)。
研究人員提醒我們，由于在現(xiàn)實(shí)操作中，很多消費(fèi)者將自己的手機(jī)號(hào)碼設(shè)定為賬戶(hù)名，因此這次試驗(yàn)就模擬了這種常見(jiàn)的情況，研究人員在賬戶(hù)一欄輸入手機(jī)號(hào)碼后，然后發(fā)送短信獲取手機(jī)的驗(yàn)證碼。
申迪：驗(yàn)證碼會(huì)發(fā)到這個(gè)手機(jī)賬號(hào)本身上，當(dāng)然在撿到這部手機(jī)的情況下，就可以把驗(yàn)證碼拿到了，那么進(jìn)入下一步。但是下一步還有一個(gè)驗(yàn)證，就是身份證號(hào)。需要知道這部手機(jī)機(jī)主的身份證號(hào)，對(duì)于這一步來(lái)說(shuō)，就和微信是同一種情況下，就是說(shuō)這個(gè)身份證號(hào)還是很難拿到。等于說(shuō)攻擊者到這一步就沒(méi)有辦法了。
環(huán)節(jié)測(cè)試到這里，如果沒(méi)有獲得正確的身份證號(hào)碼的話(huà)，支付寶的登陸密碼也無(wú)法進(jìn)行修改，為了進(jìn)一步測(cè)試，記者假定手機(jī)獲得者能夠得到身份證信息，在修改了登陸密碼后，記者成功地登陸了這部手機(jī)上的支付寶的界面。賬號(hào)里的資金情況開(kāi)始一清二楚。
申迪：資金帳戶(hù)余額沒(méi)有，銀行卡里面有三張，然后余額寶里有錢(qián)。
央視財(cái)經(jīng)《經(jīng)濟(jì)半小時(shí)》記者：余額寶里面有多少錢(qián)？
申迪： 有三萬(wàn)塊錢(qián)。
看到了支付寶里有錢(qián)，但這樣是否就能夠消費(fèi)或者轉(zhuǎn)移這三萬(wàn)多元錢(qián)呢？
申迪：在支付寶做任何操作，只要涉及到金錢(qián)轉(zhuǎn)出、轉(zhuǎn)入相關(guān)的，都會(huì)給你這個(gè)提示，都會(huì)輸入這個(gè)支付密碼。找回是需要條件的，這里面提供兩種方式，一種是通過(guò)短信，加上這個(gè)安保問(wèn)題，一種就是短信，加上這個(gè)你存到的快捷支付的銀行卡的信息，那比如說(shuō)我們現(xiàn)在選擇第一種。第一種第一步，需要一個(gè)短信的驗(yàn)證碼，這個(gè)驗(yàn)證碼也會(huì)發(fā)到這個(gè)本機(jī)手機(jī)上，等于這一步就不會(huì)有問(wèn)題了。
在得到驗(yàn)證碼之后，還要正確填寫(xiě)一個(gè)安保問(wèn)題，通常這個(gè)問(wèn)題是手機(jī)用戶(hù)自己個(gè)性化設(shè)定的，有的手機(jī)用戶(hù)設(shè)計(jì)的就是自己媽媽的名字，而類(lèi)似這樣私密的問(wèn)題，是撿到手機(jī)的人很難找知道，這也就是說(shuō)修改支付寶密碼的可能性幾乎為零。在這次測(cè)試中，支付寶的安全完全有保障，即使手機(jī)丟失，別人也無(wú)法從這臺(tái)手機(jī)上盜取資金。
聯(lián)系客服
