2026 年 10 月 探讨联通一键/免密登录的安全风险和关闭方法

[LittleSho]

今天早上想给自己实体公交卡通过手机 NFC 充值，打开上海交通卡 APP ，可能因为很久没登，登录信息失效了，可以使用联通一键登录，登进去后显示账号未实名，看了下账号，根本不是我手机号，随后发现这个号码是我流量卡开热点共享出来的号码，我主卡和流量卡都是联通；
发现不只是上海交通卡 APP ，百度网盘也可以免密登录，也就是说，只要我把数据流量开热点共享出去了，连接方可以做到神不知鬼不觉的使用联通的认证业务登录你手机号绑定的账号；
WiFi 热点测试使用中兴 F50 、红米(HyperOS 3, xiaomi.eu 原版固件)均可无需验证码免密登录，登录后，开热点的手机号也不会收到联通的免密登录提醒短信之类的；
于是通过联通 APP 开了张投诉单，写了下情况，最好能提供关闭方法；
中午联通回电，说这个功能是由软件厂商和手机厂商负责认证的，联通不提供认证，自然也无法关闭，而且这个认证是因为登录时勾选了下方的同意协议，同时问我手机热点有没有设密码，说他们自己测试是没这个情况的，但我有这个情况，随后建议我把手机恢复出厂设置（？）

也就是说，攻击者 A ，连接 B 的随身 WiFi ，在 A 自己的手机上勾选同意联通的免密认证协议，就能一键登录到 B 热点所对应的账号上，B 也不会收到任何通知提醒。
联通说的 "手机厂商的认证"我不清楚，中兴 F50 这种随身 WiFi 应该没有这个功能吧。

现在想关闭这个免密认证的功能，看到 https://www.v2ex.com/t/977733 有相关讨论。
打 4000096800 这个 400 号码，会语音提示"系统配置错误，错误代码 5 ，对方无应答"然后自动挂断。
联通说工单系统里也搜不到"ECS 能力开放平台"这个部门，只有 ECS 云服务器

那么现在联通应该如何关闭这个免密认证功能呢？

[bao3]

联通那客服说错了，这个功能是 app 开发都利用运营商的 sdk ，通过当前流量的 sim 来获取你的网关帐户。

由于你的当前 sim 在联网，等于联通一定是对它做鉴定的，所以 App 的开发者就通过联通的 sdk ，就能知道你的身份。

跟手机没有任何关系，纯粹是运营商那边的设置。我是没遇到过，你可以直接工信部投诉。这其实和 攻击没啥关系，纯粹是作为热点后，100% 会被滥用授权。

[dode]

可以免密登录联通自己的 app 吗

[LittleSho]

@dode 不行，联通自己的 app 要短信验证码

[loading]

@bao3 开热点被滥用授权似乎不得了。看来需要研究下防火墙策略了。保不准以后会用到。

[CEBBCAT]

联通又在一本正经地胡说八道了，出个社会新闻才会着急忙慌修掉

[wfg]

你可以不让其他人连你的热点

[tars13344]

额 感觉国内 90% 的软件都有手机号一键登录的功能…… 像防范也只能是热点设置成一个强密码了？

[liyafe1997]

@bao3 这事像极了 20 年前的电信互联星空，用户可以直接在第三方网站，利用当前的宽带来认证，用电信宽带/电话费账户来购买各种东西，于是当年就有什么利用肉鸡刷钻充 Q 币之类的各种操作...什么灰鸽子木马，就是在那时大行其道的，网上下东西中了个病毒，第二天发现话费/宽带费突然多了几百块

逝去的回忆开始攻击我

[ez4mi]

我应该两三年前关闭的，好像就是打了你说的这个 400 电话进行关闭的

[bush911]

感谢分享。一直都以为这玩意神奇的是隐私泄漏，原来是狼狈为奸

[georgex]

mark 一下，同样是联通，看起来是有安全问题

[Tidal]

虽然但是 手机的热点密码保护好 也能一定程度上避免吧，不要让不信任的设备连接到自己的手机热点

[ThirdFlame]

正常情况下 是 应用通过手机流量时 才能获取免密登录的能力。

[dode]

我之前试过用手机给另一个手机开热点，无法用这个免密认证登录的，你可以测试排除一下这样的情况

[yelog]

感谢分享，我一直以为是读取 sim 卡信息，原来仅凭流量就能登录。。。

[ngoyeung]

还能这样子哦，666 了啊这个

[joh]

只知道通过屏蔽对应网址可以避免。但是有办法在联通那边关闭吗？

[zzzzero]

这个应该可以 SDK 限制获取号码的时候，只允许走蜂窝，不允许走 WiFi 流量吧。

[iraz]

我记得关于一键认证 很早就有帖子讨论这个
后续看到过有新的方法 但是我没记下来 找下应该有办法的 我再去搜下

[iraz]

好像现在直接打 10010
https://www.txrjy.com/thread-1376077-2-1.html