支付宝漏洞的真实经历（网曝支付宝出现重大漏洞）

支付宝又惹上事了？！

今天凌晨，有网友称支付宝出现新漏洞：

可以更改别人的密码

甚至可以不用别人原密码

直接用手机号就可以更改！

地宝君本着真实求证的心态试了试

居然真的可以更改！

这个漏洞是这样的

▼

1、打开支付宝登录界面

输入帐号后点击忘记密码

2、输入帐号后直接点无法接收短信

3、这里有很多验证方式

选择你所知道的方式

熟人验证，你知道的朋友信息

4、更改密码，原密码直接忘记，直接更改

修改完直接登入账户

拥有全部功能

且支持免密支付

原支付宝账户

会收到密码被泄露的提醒

但于事无补

有几个关键点需注意：

谁可以拿到你的手机号？包括但不限于：

淘宝卖家

快递小哥

你的好朋友

谁可以知道你买了啥？包括但不限于：

淘宝卖家

快递小哥

你的好朋友

以上人群

利用漏洞重置登录密码的3个条件成立了两个

而且重置登录密码可以多次重试…

如果你以为解绑银行卡就完了？

支付宝的支付路径包含但不限于

银行卡、花呗、付款码、余额宝、免密支付……

网友评论：

不过支付宝上午11时做出了回应

称“进一步提高了风控系统的安全等级”

支付宝最新回应：

我们接到网友反映，称可以通过识别好友、识别近期购买物品，来找回支付宝登录密码。

这一方式仅在特定情况下才会实现。通常情况下，用户找回登录密码至少需要输入手机短信验证码。对于部分暂时无法收到短信的用户或者更换移动设备的用户，我们的风控系统会先进行评估（比如账户信息完整程度、网络环境等因素）。在安全系数较高的情况下，才让用户回答一系列安全问题，只有在回答正确后，才能修改登录密码。

这一策略只能找回登录密码，仅通过回答安全问题并无法找回支付密码。且一旦用户支付宝在其他设备被登录，本人设备会收到通知提醒。

为了更好提升用户的安全感，在接到网友反映后，我们于今日上午进一步提高了风控系统的安全等级。目前仅在用户自己的手机上，才能通过识别近期购买商品以及识别本人好友来找回登录密码，通过其他手机设备是无法应用这一方式找回登录密码的。

我们也欢迎用户继续对我们的安全策略提出意见和建议，我们会根据大家的反馈进一步完善和修正。

不过正如下面这位网友所说的

对于一个支付工具

安全是最重要的

希望支付宝能够进一步提高风控安全等级

保障人们的账户安全！

地宝网综合湖北经视、FM93交通之声、新浪微博等网络信息所得

,