一篇支付宝被盗刷然后追回的帖子

[Quaintjade]

原微博：
http://www.weibo.com/p/230927703315198643011584


根据“不问是不是就先问为什么都是耍流氓”，先问一下这个微博的事件真实性如何？里面的描述是否有存疑 /隐瞒 /误导的地方？

然后假如这个微博内容基本属实，那么里面提到的几个关于支付宝的问题我也是挺好奇的。
很想知道的是，支付宝号称的大数据安全目前究竟是什么水准？按该文看，还是仅仅停留在受信设备的程度，远没有达到简化支付密码时曾经吹嘘的根据使用者习惯特征分辨的程度。而且只要是受信设备，连短时间异地登陆也不设卡。

另外就是，除了该文作者提出的问题，我还想知道究竟是否有其它漏洞。购机下家即使能恢复数据，但应该无法知道支付密码，如何进行的大额支付？是不是购买基金等产品可以免密？
我没有试过，但按常理，买基金回来还是回到原支付宝账户，没密码还是取不出，支付也只能小额。那么购机下家如果有恶意，如何从中得利？或者下家仅仅是恶作剧，基金款到期又会回到作者支付宝，然后作者白赚 25000 ？

支付宝当年取消手势密码时吹的牛参见：
www.weibo.com/1891502860/CqmLZC2No

主要意思就是支付宝能根据一系列特征识别出不同使用者。“如果不是主人，哪怕掌握了密码，安全大脑也会阻止他挪动账户资金”，结果却连位置信息都没有安全防御。

最后那句“把关于支付安全的责任， 100%承担在了自己身上”更像是笑话，明明 100%都推到了用户身上。

[xuan880]

大数据的安全性在于数据的多寡，收集的越多，理论上安全性越高，不过大部分人把支付宝的各种权限都关闭了也只能得到最基本的数据（权限全开估计效果也不大），这种情况下感觉大数据基本没啥用。

[Quaintjade]

记得有个骗术是利用一些方法用银行卡去买理财，然后打电话给持卡人说你刚刚有一笔大额钱款被盗刷，你看看是不是，粗心的一看确实有一笔大额转出。接下去骗子就会以追回盗刷操作为由进行标准骗子指导流程。
不知道文中的盗刷者是不是本来也打算用这种方法诈骗。

//不知道为啥不能 append 。

[camillo]

所以我一直觉得支付宝力推什么大数据安全体系外加保险赔付 在中国的安全和司法等环境下 完全不靠谱 没什么人会**因此**就信任支付宝了 说服力实在太低 并不适合用来公关……

[Quaintjade]

@xuan880
即使设备上权限被禁，至少通过登陆 IP 可以判断短时间内异地登陆，这样的风控连传统银行也是有的（汇丰银行企业网银我就遇到过，只是两个国外代理短时切换一下，过了一会儿就来电话确认了）。
可是文中就连这样都没有阻止交易，所以我很怀疑究竟是否有号称的大数据安全。

[imn1]

和上次看到的解决文章一样，结论是认识“相关人士”

[Gua]

看完后，已把钱转回银行卡。

[gamexg]

二手交易会暴露自己的支付宝账号，甚至有可能被恢复手机上的支付宝数据。但是支付密码是怎么获得的？难道是撞库？

实际手机被交易出去很不安全，曾经在返修换机上面尝试过恢复数据，可以恢复不少内容。

[lostsnow]

2FA 2FA 2FA
呵呵

[proudzhu]

我一直搞不懂大数据和我的支付宝安全有啥关系，感觉只是当时给取消支付宝手势解锁时大数据这个词比较火

[Quaintjade]

@proudzhu
参见这个，支付宝当年吹的牛 B
www.weibo.com/1891502860/CqmLZC2No