支付宝实名认证的惊天漏洞,怕怕~~

2015年10月11日 糊悉尼



事件概述

10月10日晚间有用户爆料支付宝实名认证存在漏洞。登录支付宝后无意间打开支付宝实名认证页面,用户的实名认证信息下多出了5个未知账户。


微博网友F9y4ng的微博截图

以下是用户F9y4ng的文章全文



本周四,登陆支付宝后无意间打开支付宝实名认证页面,发现如下情况:


我的实名认证信息下多出了5个未知账户。作为账户主体,我完全不知道是在什么时间,就有了这5个绑定账户,我也完全没收到任何形式的确认或是告知信息,通知告知我,我的实名认证账户下绑定了以上5个账户。是的,你没看错,不论是短信、邮件、或者是登陆后的站内信息都没有。如果不是当时偶然的机会点到实名认证的链接,我可能一辈子也不知道自己的主账户下绑定如此多不属于我个人的子账户。


那么实名认证的账户都能干什么呢?



没错,贷款也是放到你的实名信息名下的。别人拿的身份贷款,你来还。


于是乎,当机立断联系支付宝客服,反映相关情况,支付宝客服线上客服给出了以上答复:



跟线上客服沟通过之后,我彻底跪了,不能解绑?还在研究?!


立刻,马上电话95188,连续语音导航N次,在等待了漫长的十分钟时间后,终于接通了人工客服,立刻反映情况,客服连续转了N个主管和领导,最后告知我,支付宝账户被别人绑定了子账户,你需要申诉解除绑定,而且责任不在于支付宝。


当时我就傻B了,责任不支付宝?那就是在我咯?问题来了:


1、 支付宝的实名认证,我在2010年就完成了身份证信息,银行卡信息的认证,为什么别人还能附加在我已经认证过的信息下?


2、 实名认证的子账户绑定流程是否存在严重的漏洞?任何人只要伪造某人的身份信息,只要提交的认证材料和已实名账户的信息一致就可以直接附加子账户,不需要原有实名账户的确认?


3、当我的实名账户被绑定了其他子账户时,为什么没有收到任何形式的确权信息,注册过的手机、邮件、已经主账户登录支付宝后的站内信都没有任何形式的提示?不确权就随意附加账户到别人的实名认证账户下是不是流氓行为?


4、我作为实名认证的主账户,为什么不能删除已授权子账户,并禁止账户绑定功能?支付宝是不是在刻意制造漏洞?


带着以上问题,我在周四当天晚上提交了支付宝的报案信息,于今天早上9:23分,接到支付宝客服中心某程姓客服的电话,电话一接通就是要求我重新上传身份证,根本不回答我的疑问。及其明确的表示,


第一,支付宝的实名认证绑定流程不需要已实名认证账户的确认,也不需要登陆已实名认证账户,只要申请者提交身份信息和已认证账户一致就默认通过认证绑定;


第二,支付宝实名账户绑定功能没有短信、邮件、站内通知等形式的实时通知,需要用户自己登陆支付宝查看实名账户绑定情况;


第三,想删除子账户,你就必须申诉,并重新上传身份证;


第四,这件事情上,支付宝没有一点责任,全部责任都在用户。


本着先解决风险问题的前提,准备提出申诉,先把绑定账户取消掉,然后再去支付宝追究责任。于是开始申诉流程,接下我就遇到如下情况:



到此,我就彻底跪了,绝望了,崩塌鸟。


这还是alibaba集团下的支付宝?全国最大的第三方支付公司?太不可思议。


我的实名认证账户在我完全不知情的情况下被绑定了5个非本人账号,而且本人并不知情。在我发现该情况后,作为已实名账户的主账户,还不能对我的实名信息账户进行处理?致电支付宝客服,得到的结果是需要重新上传身份信息。我真的搞不懂,我遇到的问题和重新上传身份信息有什么关系,我的账户已经是实名认证过的主体账户了,为什么还要上传,这能证明什么?我是我么?


另外,这一次我为了删除非授权绑定的子账户上传了身份信息,下次又有账户绑定进来,我是不是还要继续申诉,继续上传,因为支付宝的实名认证子账户绑定根本不需要主账户的任何确认,这是不是支付宝认问题?难道还是我的错咯?


由此,可以看出,支付宝实名认证系统存在着重大漏洞,账户的实名信息绑定不需要已实名认证账户的确权,只要信息一致就直接绑定,在当前没有个人隐私的社会背景下仅靠身份信息就认定账户所属或绑定,难免太儿戏了。


整个事件以支付宝客服中断了我的电话作为结束,而就此搞一段落。对此,我将继续追究,并需求媒体方面的帮助,请各界媒体联系我,谢谢。


最后,再次提醒各位支付宝用户:请立刻检查你的实名认证信息下是否存在其他人的账户绑定,如果有,立刻走投诉流程,虽然没有什么用,但,这也算是今后法律流程上的必要操作。不要等到你有重大财产损失或是背负了别人的贷款后再去追究,那一切就都晚了。


以上文章来源F9y4ng的微博

  对此,支付宝官方在微博上回应称,是因为账户持有人存在自身身份证等个人隐私信息泄露,导致被关联认证。被绑定在用户账户下的这些子账户不能用来贷款,这些子账户无法借用户身份发起蚂蚁花呗等贷款服务。如果账户被盗产生了资金损失,支付宝所合作的保险公司将对用户进行赔付,最高可赔100万。


  支付宝官方回应全文如下:

  1、支付宝实名认证,一贯需要通过身份证、银行卡等多重信息的验证。如果发现支付宝实名认证账户下出现其他关联账户,是因为账户持有人存在自身身份证等个人隐私信息泄露的情况,导致被关联认证。因此请大家务必妥善保管好个人的账户密码、身份证件、银行卡等个人隐私信息,避免给自己带来不必要的安全风险。

  2、被绑定在用户账户下的这些子账户是否可以用来贷款呢?答案是否定的,这些子账户无法借用户身份发起蚂蚁花呗等贷款服务。因为针对蚂蚁花呗等业务的开通,不仅会比对更全面的用户信息、对用户的历史消费数据进行参照外,还有额外的风控手段进行把控。这一点请大家放心。

  3、如果用户因为支付宝账户或身份证被盗等引起异常关联认证的情况,可以致电支付宝客服热线95188,支付宝客服人员会在核实具体情况后帮用户解除关联账户。

  4、除了基于完善的安全体系,令支付宝的风险水平已经远低于十万分之一。支付宝还为用户提供会员保障服务,如账户被盗产生了资金损失,支付宝所合作的保险公司将对用户进行赔付,最高可赔100万,从保险的角度充分保障用户权益。

下面小编教你几招手机支付安全的应对措施。










综合整理来源:新浪微博,人民网,转载请注明出处:企业移动互联网平台



收藏 已赞