將「雷科技Lite」收藏為我的小程序，不再錯(cuò)過(guò)精彩內(nèi)容
「如果他們可以用隱私換取便利、安全或者效率。在很多情況下，他們就愿意這么做」，這是某互聯(lián)網(wǎng)公司董事長(zhǎng)兼CEO眼中的中國(guó)用戶。雖然大家都義憤填膺，但令人遺憾的是：在便利面前，大家真的一點(diǎn)都不在乎。
「哪有人會(huì)花心思搞我的手機(jī)啊，我微信支付寶里沒(méi)錢也沒(méi)卡，搞這個(gè)有什么用嘛？」
這是我一個(gè)在手機(jī)維修店工作的朋友「小京」的原話。「小京」當(dāng)然不是真名，但這句話他是確確實(shí)實(shí)說(shuō)過(guò)的?！复蜷_(kāi)門做生意」的小京放在2020年顯然是個(gè)異類——他的iPhone 8Plus是自己裝攢的，不設(shè)指紋也不設(shè)密碼。問(wèn)其原因，他的回答不外乎就是「反正里面也沒(méi)有錢」以及「別人也沒(méi)機(jī)會(huì)拿到我的手機(jī)」。是啊，聯(lián)系人里只有同事，微信支付寶沒(méi)錢也沒(méi)卡，你就是真的偷了他的手機(jī)，也搞不出任何錢來(lái)……真的是這樣嗎？這里我強(qiáng)烈推薦大家看看公眾號(hào)「信息安全老駱駝」里的文章，里面就完整講述了「從被偷到賠付」的全過(guò)程。不過(guò)好在各大金融機(jī)構(gòu)都愿意為此次文章里的主人公作出賠付，支付寶也在復(fù)盤后也表示此次事件中不法分子沒(méi)能攻破支付寶的安全防線，銀行卡號(hào)等支付信息是從其他黑色產(chǎn)業(yè)中獲取的。支付寶的「刷臉支付」采用的是3D人臉識(shí)別技術(shù)。在進(jìn)行人臉識(shí)別前，也會(huì)通過(guò)軟硬件結(jié)合的方式進(jìn)行檢測(cè)，來(lái)判斷采集到的人臉是否是照片、視頻或者軟件模擬生成的，能有效地避免各種人臉偽造帶來(lái)的身份冒用情況。支付寶同時(shí)也會(huì)根據(jù)用戶使用的設(shè)備、登錄的地點(diǎn)與消費(fèi)習(xí)慣，在風(fēng)控系統(tǒng)中對(duì)異常消費(fèi)進(jìn)行自動(dòng)攔截。支付寶也建議大家單獨(dú)為SIM卡設(shè)置密碼，能在一定程度上防止黑產(chǎn)接收驗(yàn)證碼。另外，如果使用支付寶時(shí)有什么問(wèn)題，可以隨時(shí)致電客服95188。但在皆大歡喜的同時(shí)，我們也應(yīng)該對(duì)其中的安全隱患感到警惕。在這個(gè)案例中，短信驗(yàn)證碼就成為了不法分子的可乘之機(jī)。為什么會(huì)有短信驗(yàn)證碼？
先說(shuō)說(shuō)短信驗(yàn)證碼是怎么一回事吧，其實(shí)短信驗(yàn)證碼最初誕生的目的并不是用來(lái)給大家「快捷登錄」，而是用做密碼登錄后的二步驗(yàn)證。在「登陸1.0」時(shí)代，賬戶登錄時(shí)只對(duì)賬戶和密碼做驗(yàn)證，比如大家熟知的QQ，最初就只驗(yàn)證賬號(hào)和密碼。但隨著黑色產(chǎn)業(yè)的發(fā)展，傳統(tǒng)的「登陸1.0」已經(jīng)無(wú)法保證信息的安全。舉個(gè)例子，我敢肯定正看這篇文章的大多數(shù)網(wǎng)友，微信支付寶的密碼、常用郵箱的密碼、以及隨便一個(gè)不知名論壇的密碼用的都是同一個(gè)。你能保證密碼不外泄，微信支付寶也能，但那些不知名的論壇卻難以保證。一旦他們的服務(wù)器被入侵（甚至是主動(dòng)出售你的數(shù)據(jù)），你的常用郵箱、手機(jī)號(hào)和密碼幾乎能傳遍全國(guó)。針對(duì)這種狀況，互聯(lián)網(wǎng)巨頭們開(kāi)始引入二步驗(yàn)證，也就是「登陸2.0」。此時(shí)登陸不僅需要驗(yàn)證賬戶密碼，還需要提交某些只有你會(huì)知道的東西，比如你QQ密?？ǖ诙诺谌械臄?shù)字是什么？你最喜歡的樂(lè)隊(duì)叫什么？當(dāng)然也有些動(dòng)態(tài)的二步驗(yàn)證，比如Steam在登錄時(shí)給你發(fā)的驗(yàn)證碼郵件，或者登陸滴滴出行時(shí)的手機(jī)驗(yàn)證碼。換句話說(shuō)，手機(jī)驗(yàn)證碼在設(shè)計(jì)時(shí)只是一個(gè)輔助的驗(yàn)證手段。但在現(xiàn)實(shí)生活中，越來(lái)越多機(jī)構(gòu)選擇將「輔助手段」當(dāng)作「主要手段」。不可否認(rèn)的是，短信驗(yàn)證碼登陸比傳統(tǒng)的密碼登錄方便太多，但這樣的方便、快捷卻恰好印證了導(dǎo)語(yǔ)里李彥宏說(shuō)的那句話。「快捷登錄」的背后有多危險(xiǎn)？
首先，單是手機(jī)驗(yàn)證就能獲取不少個(gè)人信息。比如我這里演示用的「新華書(shū)店」App，即使在新設(shè)備上，我也只需要手機(jī)號(hào)和短信驗(yàn)證碼就可以登陸，且無(wú)需任何密碼認(rèn)證就能直接看到完整的收件信息。生活中像這樣的App還有很多，大家可以自己回想一下自己還注冊(cè)過(guò)哪些App，再想想其中的信息風(fēng)險(xiǎn)。然后，現(xiàn)在不少手機(jī)品牌都可以通過(guò)手機(jī)驗(yàn)證碼修改賬戶密碼，即使我們鎖定了手機(jī)不法分子也能用新密碼繞過(guò)丟失鎖。可能有人可能認(rèn)為「我掛失手機(jī)號(hào)，對(duì)方不就收不到驗(yàn)證碼了？」其實(shí)并沒(méi)有這么簡(jiǎn)單。不法分子可以通過(guò)發(fā)送短信的方式辦理短信轉(zhuǎn)移業(yè)務(wù)，辦理后即使掛失補(bǔ)辦了手機(jī)號(hào)卡，不法分子依然可以獲取短信驗(yàn)證碼，從而繼續(xù)進(jìn)行相關(guān)操作。比如在「信息安全老駱駝」的案例中，不法分子就通過(guò)「四川人社」的App，以短信驗(yàn)證登陸的方式獲得了該手機(jī)號(hào)對(duì)應(yīng)的身份證號(hào)。除了這種政府機(jī)構(gòu)的App以外，連鎖酒店與商務(wù)訂票App通常也是信息泄露的盲點(diǎn)。甚至是南方航空的官方頁(yè)面，就可以用手機(jī)號(hào)+驗(yàn)證碼登陸并查看卡號(hào)，再通過(guò)卡號(hào)+驗(yàn)證碼修改密碼，從而用新密碼查看所有綁定證件號(hào)碼。至此，不法分子已經(jīng)獲得了你的手機(jī)號(hào)碼、收件信息、身份證號(hào)碼、真實(shí)姓名，同時(shí)還能用短信轉(zhuǎn)移獲取你的所有驗(yàn)證碼。對(duì)不少App來(lái)說(shuō)，不法分子和你本人已經(jīng)沒(méi)有任何區(qū)別。憑借身份證號(hào)他可以向銀行客服電話查詢你的卡號(hào)，再用你的信息進(jìn)行綁卡消費(fèi)，甚至是信用貸款。保護(hù)好個(gè)人信息有多難？
看到這里，相信大家也發(fā)現(xiàn)問(wèn)題所在了：SIM卡密碼以及部分機(jī)構(gòu)脆弱的信息管理方式。首先是SIM卡的密碼，都不要說(shuō)修改PIN碼了，估計(jì)現(xiàn)在很多人都不知道SIM卡是可以設(shè)置密碼的。這一方面和運(yùn)營(yíng)商的不宣傳有關(guān)，另一方面和我們不愿意每次開(kāi)機(jī)輸入兩個(gè)密碼有關(guān)。其次是我們某些機(jī)構(gòu)「馬奇諾防線」級(jí)別的個(gè)人信息管理體系。以南航為例，無(wú)論是一開(kāi)始登陸還是找回密碼，整個(gè)操作邏輯里登陸賬號(hào)都可以用手機(jī)號(hào)代替，根本起不到交叉驗(yàn)證的效果。這里用南航舉例并不是針對(duì)南航，因?yàn)槲覀兩磉呥€有無(wú)數(shù)個(gè)可以憑借手機(jī)號(hào)+驗(yàn)證碼暢行的例子，航司也好酒店也罷，這都只是冰山一角而已。我們能怎么做？
首先，給自己的SIM卡加上PIN碼。這樣就算別人偷了你的手機(jī)，也沒(méi)辦法換機(jī)收發(fā)短信。第二，清理、注銷不用的軟件賬號(hào)信息，牽涉到地址、證件的App更是要格外留心。比如我剛剛提到的新華書(shū)店App，我現(xiàn)在買書(shū)要么是實(shí)體書(shū)店要么是京東淘寶，這個(gè)已經(jīng)棄用的App完全可以直接注銷，免除后顧之憂。南航的會(huì)員我不能取消，已添加的證件信息南航又不允許自助刪除，所以我直接將綁定的手機(jī)號(hào)改成了平時(shí)在用的美國(guó)虛擬運(yùn)營(yíng)商號(hào)碼，沒(méi)有實(shí)體卡自然更安全。除此之外，不用的賬戶也應(yīng)該及時(shí)注銷。比如我曾經(jīng)用另一張SIM卡注冊(cè)過(guò)微信、淘寶與支付寶，并綁定了銀行卡。盡管那個(gè)手機(jī)號(hào)已經(jīng)銷號(hào)了。但在一段時(shí)間后這個(gè)號(hào)碼會(huì)重新放出，如果某位幸運(yùn)用戶抽到了我的號(hào)碼，并在他的手機(jī)里用短信登陸支付寶和微信，那他無(wú)意間也能獲得我的個(gè)人信息與支付信息。盡管這位幸運(yùn)用戶沒(méi)有惡意，但我們也應(yīng)該對(duì)此做好防范措置，從而將風(fēng)險(xiǎn)降到最低。哦對(duì)差點(diǎn)就忘記小京的事了，把文章發(fā)給他后，小京趕緊拉黑了我。
本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請(qǐng)
點(diǎn)擊舉報(bào)。
