2 分钟内把别人支付宝 9.0 里的钱变成自己的

[miyuki]

http://weibo.com/p/1001603862772466220020

原文被和谐
感谢 @ch3x 提供存档 http://chuansong.me/n/1523878

为了消除用户的不安 支付宝官方搞了一份安全报告

[Andy1999]

…… 吓得我装回前面那个版本了

[kingcos]

还好是肾5s
还好支付宝就70块…

[Daddy]

用户体验

[kingcos]

我试了…果然啊…
常用设备直接就可以改…
阿里这是在干啥啊？

[sobigfish]

直接系统繁忙。。。。ali161 了，估计大家都去试，或者支付宝主动下线改支付密码功能了？

[ChaosTNND]

果然可以啊。。这个疏漏太大了吧

[exit]

谁贴一下
微薄一定要登录才能查看真烦人

[zls930]

卧槽，吓尿了！

[sandideas]

指纹解锁。。屏幕都进不去，所以就不担心支付宝了。
本来有设置启动时指纹识别，后来嫌麻烦关了

[ericls]

支持支付宝！ 这根本不能算不安全 而是整个社会对法律的漠视和没有信心！ 按照这个逻辑 我今天穿个衣服被别人捅了 是不是怪衣服不防捅啊？ 大学自习室敢用 macbook占座 不是苹果有黑科技 而是大家知道不能拿。 又不是原始社会 谁偷到就是谁的 大家要相信法律 相信党 相信国政府。 政府会保护你的个人合法财产的 这是政府的基本义务。

[spance]

手机又不是多用户操作系统也不是公共电脑服务平台，自己搞丢了被弄走了钱怨不得别人，悄悄的哭不要出声，本来私用的物件和安全凭证，被别人持有了，那跟别人一毛钱关系都没有。

一面嚷嚷着一遍又一遍的密码嫌犯，一面又嚷嚷着呀这么不安全，那到底神马就安全还不烦呢？

[liuhaotian]

… 屏幕+支付宝双层指纹验证暂时似乎没问题

[miyuki]

@ericls
@spance
所以是“造福千万小偷”……

[HeyMan]

有指纹验证登陆。另外，手机不保护好怪谁。

[spacewander]

手机真是越来越重要了……落在别人手里一不小心真成了手雷

[DearTanker]

这不就是为了推销0.88元的保险吗？赶紧买啊。一年只要0.88元。

[miyuki]

@DearTanker 瞎说大实话

[crisfun]

@exit 第一步：找到对方手机上的支付宝9.0，点击进入。因为支付宝9.0取消了手势密码所以可以直接长驱直入，所有信息一览无余，完全无码步兵片。什么？你问如果对方不是支付宝9.0怎么办？很简单，帮他直接升级就行啊
第二步 ：接下来就是要把对方绑定支付宝的银行卡或支付宝余额里的钱转到自己名下了，首先要修改支付密码，请点击左上方头像，然后依次选择“设置”——选择“支付设置”——选择“重置支付密码”，进行支付密码的修改
第三步：支付宝真贴心，只要检查完是常用手机，就能直接改支付密码了。


足够了

[n0o0a0h0]

@HeyMan iphone5 以及以下没有指纹识别

[crisfun]

@n0o0a0h0 正常下越狱设备也没有

[cohsin]

对……越狱设备也不支持，挺大一个漏洞的。

[Aoliz]

算一个漏洞吧。不过真的有人这么蠢，偷了手机把钱往自己账户上汇吗？ .....

[qiuai]

还好是肾六...

[Syaoran]

支付宝越更新越傻逼，卸载支付宝保平安，网上搜"九评支付宝"有真相

[Cavolo]

我试了下现在好输入证件号，接下来就如文中所说，原密码也不用输

[zjia8765]

试过了，重置密码需要输入身份证号

[miyuki]

@Cavolo
@zjia8765
也许是刚刚新加入的

[honeycomb]

@Syaoran 真的是这样的，不要开快捷支付，不要开支付宝的余额支付功能。

网银自然是麻烦的，但是可控。

支付宝大了关不住喽

[honeycomb]

@ericls 没有冒犯的意思，但见到这样的语气就在想能拿几分钱

[Luzifer]

@Aoliz 代下单

[imn1]

@zjia8765
HR一下子高大上了，知道一大堆身份证

我也至少知道三个跟我毫不相关的人的身份证，不如……

[iqav]

表示关注事态发展。

现在手机那么私人化的东西，如果它不保管好，这就相当于打开了一扇门。

[sketch33]

呵呵。

我来教你：2 分钟内把别人钱包里的钱变成自己的
第一步：向别人借钱包
第二步：把钱包里的钱都拿出来。现在的钱包真贴心，上面连个钥匙都没有，直接就可以打开了。

[zangbob]

手机从来不装任何阿里软件的人飘过……

今天iPad上升级后，支付婊还强烈建议我取消登录手势呢……

[miyuki]

@sketch33
开口向别人借手机和借钱包你觉得一样吗……

[simodorg]

@sketch33 毫无可比性。

[mrjoel]

这个漏洞从本质上来说 属于物理攻击。。。

[paradoxs]

让你转你都不敢转，你借完人家手机，人家余额宝马上少钱。 自己到派出所自首吧。
何况这钱你能转到哪里去？ 转自己卡里想死吗？

何况支付宝还有100万的赔付，赔付案例网上多的是，就不复制粘贴了。

[ericls]

@honeycomb 神马意思？

[lcqtdwj]

你们以为支付宝员工想不到么？这是漏洞？这是支付习惯的改变，现在的手机不是过去稀有的通讯工具，还有人借，现在是一个很私人的日记，钱包等等，你会把你日记给别人看？把钱包借给别人吗？

[imn1]

不过这次还真给我一个理由不借手机给人，以前别人来借说不借显得我很小气，虽然我完全没开通手机支付宝

@sketch33
我挺想知道哪个钱包放了几十万也没钥匙的，我一定去借那个钱包

[q378648220]

楼上都没有人考虑过 手机丢失 的情况么。

手机丢失 怎么办？？？？

[miyuki]

@q378648220 对呀 正如文中说的“造福千万小偷”

[KaneLin1217]

保险公司会赔么？肯定是啥啥啥条件不足，证据不足，不能理赔~

[q378648220]

钱包借给别人，然后少了钱，你敢确定是别人拿的么。这种无凭无据的东西，谁都不好说。

钱被转走，谁又能区分是主动转走还是被恶意盗用的呢？

[Tyler1989]

MIUI自带应用限制访问

[Tang]

刚看完，文章就被删除了

[imn1]

其实还有一个疑惑：智能机是不需要sim卡就能开机的，这时候支付宝是否也识别为“常用设备”？

@paradoxs
@lcqtdwj
1.黑卡多的是，根本不用转钱到自己名下
2.着眼于“借”也是醉了，网吧及各种开放场合放着手机在桌上的人多的是，哪个人敢打包票24小时机不离身？洗澡时？睡觉时？运动时？充电时？……
3.马上转钱可能很快发现，但改个密码就难说了，钱可以之后慢慢转，改密码操作甚至少于1分钟呢

这已经不是改变借不借这个习惯了，而是完全要改变所有的生活习惯了
手机估计都成贴身肉了，老婆孩子亲爹妈也不敢给，不是怕亲人心黑，只是担心他们“保护”意识不够的时候哭也没眼泪

[xuc]

支付宝已卸载，留了个安装包备用

[kxxoling]

@Andy1999 没用的，别人可以帮你升级～

[weyou]

@kxxoling 之前的版本有手势密码锁，升级了也要过这一关才能解除。

[weyou]

@imn1 我挺想知道哪个钱包里放了十几万，还会把钱包借给别人玩

[weyou]

@imn1 呵呵，以上是开个玩笑。古老的钱包本来就没有什么安全措施。手机至少应该有安全措施来应对丢失的情况， 这次支付宝不知道脑抽还是什么， 太托大了。

[AirSc]

抱歉，你访问的页面地址有误，或者该页面不存在

[panda]

和谐了，求原文。

[imn1]

@weyou
我明白你的意思，反正楼上一大堆洗地的

支付宝别花心思在公关上了，连夜加班改业务逻辑吧，不然一个晚上过去，明早警察叔叔可能接到很多报案的
业务逻辑错误比技术逻辑错误更加致命

[imn1]

@panda
内容和18楼所写差不多

[catface]

不用公关啊，微博不是阿里家的吗

[lackar]

太不安全了

[Tattoo]

还好是肾6

[imn1]

那么，所谓的“大数据风控系统”又是什么？据支付宝相关负责人表示，目前支付宝已经形成以账户、设备、位置、行为、关系、偏好等6个维度构成的大数据风控系统，支付宝可以根据从这些方面来判断出否是主人操作，从而决定支付是否需要密码。
----------------------------------------------------
（摘自ithome）

说这话的人（及其背后团队）有没有学过统计学啊？学过消费者行为学或者人类行为学么？居然还敢自称“大数据”？

改密码行为怎么跟大数据挂钩？研究密码构成的独特思维或者可以（当然也要明文的前提）
只有“重复、可再现”的行为且样本数量足够多时才能使用统计学

[fashioncj]

我很好奇为什么要去除手势锁。。像我这样的越狱用户还不让用指纹。。

[ch3x]

@panda 原文在这里 http://chuansong.me/n/1523878

[miyuki]

@panda 见 append

[theJian]

第一次聽到這個消息我是高興的, 因爲我支付寶沒錢. 幸好老子支付寶沒錢呀, 老子支付寶沒錢. 想着想着眼淚就留下來了.

[We_Get]

完全没有考虑到手机丢失，子女偷用手机等情况嘛

[em70]

这篇文章才有个大漏洞,转账不是给陌生人的,是提现到自己的卡,如果真是小偷,敢忘自己账户打钱,很容易被警察找到吧,对小偷来说大数据是个坑

[weyou]

@em70 照你的说法，那些短信发账号让打款的骗子都不存在了。

[raincious]

@em70

0、小偷偷到了一张银行卡，并且有密码。

[HanSonJ]

现在好像不行了，需要输入身份证号才可以

[sky170]

所以支付宝送android用户账户安全险。

[Keinez]

测试了两种情况：
1、左手重置密码
2、使用触控笔重置密码

两次均刻意表现得与右手惯用操作习惯不同。

结果：
并没有什么卵用，支付密码照样直接重置。

[zpole]

5s...然而支付婊表示越狱不给用指纹解锁2333我一没装盗版商店二没用盗版源，所有软件及插件全是appstore和bigboss正版，也没装afc2，你说是为了我的安全...更奇葩的是支付居然又可以用指纹了...简直无语😓

[percentsfg]

有多少人支付宝有大额钱财的？我是要用也是网银转进去马上用掉。网银也是专门的一张卡

[cohsin]

@zpole 设置里面支付可以用指纹，但是实际上到支付那一步，显示『越狱设备不支持指纹支付』还是叫你输密码……

[belin520]

@percentsfg 我不会炒股，所以把所有身家放余额宝，这次的事我还是比较关心的

现在支付宝重置支付密码的逻辑已经恢复了

[Perry]

@DearTanker 0.12 元的优惠你就买了？

[yxzblue]

手机容易丢，没考虑过这个？取消了手势密码，安装的支付宝瞬间沦陷？谁JB会注意你的快速挂失功能？干嘛不让我们用户选，又不多费事，真TMD烂设计

[Perry]

转账之前，记得给主人买份保险。。

[kn007]

真是日了

[popok]

@paradoxs 还有一个情况那是手机掉了，或者被偷了

[romotc]

[romotc]

这是被盗了可找阿里报销吗😄 9.0版本取消手势密码会送保险的

[terax]

还好我用指纹解锁～

[jasontse]

@em70
0. 小偷使用网购来的身份证办了一张银行卡

[ob]

早上才刚刚升级。。orz

[simapple]

e 现在谈论这个问题的 微博和微信和大网站的文章都被和谐了

[romotc]

悲催的竟然还没法重新开手势密码

[lee015]

更新过了，现在改密码已经要输入原密码了

[chengzhoukun]

@ericls 不信政府（的执法能力

[Chilly]

幸亏没更新

[sfz97308]

还真是让人不放心...以前支付宝还是很注重安全的，怎么现在这么没节操了...
PS. 貌似现在重置支付密码需要输入原支付密码或者证件号了

[chengzhoukun]

@HeyMan 怪支付宝咯，像原先那样多好

[chengzhoukun]

@spance 本来安全的措施被取消了，不怪支付宝怪谁

[mortal]

@zpole BioProtect 插件，你值得拥有！

[JayFang1993]

这所有的都有一个前提 就是 拿到别人的手机！！你能拿到手机，都是和你很亲近的人～

[JayFang1993]

赶快去买那个 0.88元的保险～

[popu111]

@sfz97308 [重置] 密码需要输入原密码。。。这更没节操好不好

[iqav]

@popu111 那一部份人就是因为不记得密码了，然后才来重置的。结果还是需要原密码来重置。那么有没有其它方式来重置密码，或进去公安局开张怎么证明自己是自己的证明，寄到阿里总部，一个月后答案。哈哈哈哈

[popu111]

@iqav 一个月后：阿里：对不起，你的证明被我们的临时工弄丢了，请重开一份。
另外似乎可以用证件号的