支付宝现重大漏洞：知晓熟人信息可篡改密码

[youfang]

通过支付宝 APP 登录——选择“忘记密码”——选择“手机不在身边”——这时支付宝会让你选择“淘宝买过的东西”（ 9 张图片选 1 个）——“你可能认识的人”（ 9 个好友选 1 个）——只要选择对就可以重置密码了。

[stevenkang]

亲测已经修改了几个同事的密码了，大部分 Android 手机来操作不行（目前同事的 Android 无一个成功的），小部分 iPhone 可以（目前就我的手机可以，其他的不行）

[youfang]

不知道微信支付有没有类似漏洞

[appppap]

太可怕。只验证两个信息就可以改密码了。

[csensix]

都说知晓信息了

[darrenfang]

刚刚试过，可以改密码😂

[p2227]

我觉得选择认识的人要对方确认才行的吧

[youyoumarco]

两条验证信息验证完应该发送确认信息，确认完成后才能出现修改密码的选项。或者用户有权在个人中心设置中选择哪种方式找回及更改密码。这种应该算风控没做到位吧。

[hotStrip]

知晓熟人信息。你知道你朋友买的什么东西，和他的认识的人，这关系不算一般了吧，然后你会去改他密码盗他号？

[gam2046]

尝试了一个，没成功

首先选择忘记密码以后，没有“手机不在身边”的选项，而是直接发送短信验证码，只有一个“无法接收短信”选项。选择该选项后，直接进入人脸识别。

至此，失败告终。

[youyoumarco]

@hotStrip 骗子可能会间接利用这一点，支付宝的出发点是好的。

[loryyang]

这里的最大问题在于，修改密码必须是本人，但是这两个条件约束和确认是本人差的还是有点远吧。怎么着也得连续看 5 个购买的东西，然后按照好友数量再看个几个

[gam2046]

取消人脸认证后，出现一个选项，三选一：

* 刷脸验证
* 验证本人银行卡信息
* 拨打验证号码

其中“验证本人银行卡信息”会要求提供绑定了支付宝的银行卡卡号，系统会提示该支付宝帐号的户主姓名（例如 张*三）。

其中“拨打验证号码”要求使用支付宝绑定的手机号拨打 13429102985 ，并提示在某个时间节点以前拨打有效。

因此得出结果，短信验证与拨打号码均要求持有绑定的手机卡；另外只有两个途径可以重置密码，人脸与银行卡

[stevenkang]

https://ooo.0o0.ooo/2017/01/10/58745777a2a79.png

https://ooo.0o0.ooo/2017/01/10/587458049f26a.png

话说怎么添加图片

[whatfor]

吓。。。我改 了。我自己的。。也通过了。。

[bk201]

这东西基本没法洗，为了便捷性牺牲安全性够愚蠢的。我觉得应该是阿里产品狗的锅。

[stevenkang]

重置同事的密码成功

[jiangdaohong]

更换设备登陆需要回答其他问题的

[darrenfang]

@darrenfang 试了几个同事的，基本都失败，需要回答验证问题，或是刷脸。

[smallaccount]

月饼厂其实比百度垃圾多了

[P233]

我身边已经有两个成功案例了