央視曝出真相：手機(jī)丟失銀行卡能否被盜刷?
出門打車、買電影票甚至到便利店買包子都可以用手機(jī)付款，智能手機(jī)在人們?nèi)粘Ｉ钪械墓δ茉絹碓蕉鄻�。不過也有人擔(dān)心，如果自己的手機(jī)丟了，而這部手機(jī)又恰好和相關(guān)銀行卡以及支付寶綁定，那么撿到手機(jī)的人是不是就可以通過手機(jī)驗(yàn)證碼能查找到銀行卡和支付寶的密碼，從而盜取帳戶上的資金。那么這樣的風(fēng)險(xiǎn)究竟有多大?手機(jī)用戶該如何防范?央視財(cái)經(jīng)《經(jīng)濟(jì)半小時(shí)》的記者就此展開了調(diào)查。
點(diǎn)開新浪、網(wǎng)易等各大門戶網(wǎng)站的論壇，這篇題目叫“驚悚實(shí)驗(yàn)：支付寶關(guān)聯(lián)了銀行卡如果手機(jī)丟了會發(fā)生什么”的網(wǎng)帖隨處可見，對于手機(jī)丟失后，移動端的資金安全，這篇文章是這樣描述的：只要按網(wǎng)帖提示操作，很容易就能破解支付寶帳號和密碼，甚至能輕松把支付寶上的金額轉(zhuǎn)到任意卡上。記者注意到，一些網(wǎng)友在跟帖中表達(dá)了這樣的擔(dān)心：手機(jī)開通支付功能目前確實(shí)極不安全，按照網(wǎng)貼提示操作確實(shí)可以為所欲為等等，但也有網(wǎng)友表示實(shí)驗(yàn)并不成立。盡管討論得極為熱烈，但記者觀察到，對于手機(jī)支付的安全問題，網(wǎng)絡(luò)上的言論都集中在了猜測和懷疑上，對于具體手機(jī)資金被盜竊的案例，記者翻閱了多篇網(wǎng)頁留言，也通過專業(yè)的搜索方式，始終沒有找到。網(wǎng)上在熱炒手機(jī)支付安全的話題，現(xiàn)實(shí)生活中的消費(fèi)者，是不是也在討論這個(gè)話題呢?2月24日，記者分別在北京的西單、公主墳等商業(yè)區(qū)進(jìn)行了街頭調(diào)查。
記者隨機(jī)采訪的22人中，有20人表示了解移動支付，有14人表示正在使用移動支付。但這些消費(fèi)者基本都是青年，中年的消費(fèi)者，記者隨機(jī)詢問的老年消費(fèi)者，基本都表示不了解手機(jī)支付的方式，有的甚至根本都沒有聽說過手機(jī)支付這個(gè)名詞，而在對年輕消費(fèi)者的采訪中，更多年輕的消費(fèi)者不僅是在使用手機(jī)支付方式，更多的甚至把手機(jī)支付視作一種時(shí)髦的生活方式在對待。
移動支付業(yè)務(wù)最早出現(xiàn)于上世紀(jì)90年代初的美國，隨著在韓國和日本出現(xiàn)迅速發(fā)展，我國移動支付最早出現(xiàn)在1999年，但在2009年中國三大電信運(yùn)營商大力上馬3G后，移動支付才進(jìn)入了飛速發(fā)展期， 2011年5月18日，中國人民銀行向支付寶等27家機(jī)構(gòu)下發(fā)“非金融機(jī)構(gòu)支付業(yè)務(wù)許可”，首批牌照發(fā)放讓移動支付迅猛發(fā)展，支付寶迅速成為全球用戶數(shù)最多支付平臺。 2013年7月，中國人民銀行發(fā)放第七批第三方支付牌照，總計(jì)牌照發(fā)放達(dá)到250張，移動支付進(jìn)入爆發(fā)式增長。中國人民銀行數(shù)據(jù)顯示，在中國，2009年手機(jī)支付交易規(guī)模達(dá)到19.74億元人民幣，同比增長202%， 到了2013年，共發(fā)生電子支付業(yè)務(wù)257.83億筆，金額1075.16萬億元人民幣，同比分別增長27.4%和29.46%。
網(wǎng)絡(luò)上關(guān)于手機(jī)丟失與移動支付端資金竊取的討論
手機(jī)丟失你的錢也會不翼而飛嗎?
對于手機(jī)丟失后會發(fā)生什么，手機(jī)丟失后我們到底該怎么辦，許多手機(jī)用戶都心里沒底，那么專業(yè)機(jī)構(gòu)和相關(guān)部門又是如何看待這種擔(dān)心的呢?
在記者查閱的這篇 “支付寶關(guān)聯(lián)了銀行卡 如果手機(jī)丟了會發(fā)生什么”的網(wǎng)帖中，作者對于手機(jī)支付的安全，始終在進(jìn)行著含混的描述，文章中描述，在拿到其他人的手機(jī)后，只需簡單操作，任何人都有可能破解支付寶密碼，盜空支付寶賬戶。對于作者說的簡單操作，在文章里設(shè)計(jì)了多項(xiàng)前提條件，而在跟貼中，也有網(wǎng)友稱，在按照網(wǎng)貼所說模擬操作后，確實(shí)能夠破解手機(jī)的某些功能。那么，手機(jī)丟失后，按照文章說的這些方法，是不是就能順利的把手機(jī)支付軟件里的資金盜取出來呢?記者找到了國內(nèi)最為專業(yè)的網(wǎng)絡(luò)安全公司。
與研究員一起做移動支付是否安全的實(shí)驗(yàn)
這個(gè)研究員叫申迪，是某公司專職研究移動支付安全的研究員。在兩年前，某公司公司就對手機(jī)支付的安全問題，進(jìn)行了系統(tǒng)性的研究，隨著各種支付手段在手機(jī)上的應(yīng)用，研究人員現(xiàn)在的工作量成倍的增加，每天展開的內(nèi)部測試實(shí)驗(yàn)很多，對于記者提出的疑問，申迪表示，公司要求一切的安全問題必須要進(jìn)行實(shí)際測試實(shí)驗(yàn)，有真實(shí)的測試，才能得出手機(jī)支付安全的報(bào)告。經(jīng)公司同意后，申迪開始協(xié)助記者進(jìn)行模擬手機(jī)丟失后，手機(jī)支付軟件可能發(fā)生的各種情況。
微信支付安全測試
申迪：不需要任何手段，只要你拿到手機(jī)，并且把開機(jī)密碼解鎖解掉了，進(jìn)入手機(jī)之后，你打開微信，是不需要輸入任何密碼的。那么看一下這個(gè)銀行卡界面，下一步他就嘗試修改這個(gè)密碼。
記者看到，真實(shí)的測試中，如果你丟失手機(jī)里的微信綁定了銀行卡的話，別人通過登陸你的微信，確實(shí)就能夠直接進(jìn)入你綁定的銀行卡界面，第二步，研究人員開始測試能否對于銀行卡的資金進(jìn)行轉(zhuǎn)移。
申迪：就是說他希望把自己的錢，轉(zhuǎn)換成Q幣，就是虛擬貨幣，這時(shí)候就需要輸入它的這個(gè)支付密碼才可以，支付密碼是微信獨(dú)有的，那他肯定是不知道這個(gè)密碼，那這時(shí)候輸入就會失敗，然后他就會想辦法去假裝成忘記密碼，然后去修改。
研究人員首先嘗試通過丟失手機(jī)上綁定的銀行卡，進(jìn)行購買虛擬貨幣，但馬上碰到的難題，就是需要輸入交易密碼，這個(gè)密碼通過手機(jī)能否進(jìn)行修改呢?
申迪：那么它會提供兩種方式，這兩種方式就是綁定的這兩個(gè)銀行卡，它會要求你重新綁定，這樣才能找到密碼。其實(shí)這里面需要的信息是非常豐富的，比如說它需要你知道本人銀行卡號，對于攻擊者來說，在通常情況下是不可能知道這個(gè)卡號的，所以這個(gè)情況下就沒有辦法輸入了。而且下面不僅需要卡號，還需要其它信息，比如說持卡人姓名。然后證件號碼，包括手機(jī)號，那可能這個(gè)手機(jī)號是攻擊者唯一知道的這個(gè)信息。
微信修改支付密碼需要的信息
研究人員告訴記者，按照銀行通行的慣例，手機(jī)持有者提出修改銀行卡密碼的要求，必須填寫正確的身份證號碼以及銀行的卡號，這對于撿拾手機(jī)的人而言通常來說很難實(shí)現(xiàn)。但是申迪強(qiáng)調(diào)，如果消費(fèi)者是丟了一個(gè)包，你的身份證、銀行卡與手機(jī)一起丟失的話，就意味著你綁定在手機(jī)上的銀行卡密碼就能夠被修改，綁定的資金在理論上有可能被轉(zhuǎn)移。但如果沒有這些前提條件，單純的只是丟失了手機(jī)，違法人員是無法僅憑一部手機(jī)，盜取你銀行資金的。
支付寶支付安全測試
申迪：支付寶一般之前開始的時(shí)候，會有這樣的一個(gè)解鎖界面，就是它有一個(gè)圖形解鎖，但是對于攻擊者來說，肯定不知道這個(gè)界面，第一步就要選擇忘記這個(gè)手勢密碼。那比如說對于攻擊者來說，肯定就不知道這個(gè)界面，所以他選擇忘記手勢密碼，他當(dāng)然點(diǎn)擊這個(gè)時(shí)候，就會進(jìn)入到下一步界面。這時(shí)候支付寶就提示重新登錄。然后這個(gè)時(shí)候，就可以輸入數(shù)字類型的密碼了，這個(gè)密碼他當(dāng)然也不知道了。
相比較微信綁定銀行卡的程序，支付寶在一開始登陸的時(shí)候，就需要用戶輸入密碼，雖然安全程度和復(fù)雜程度更高，但這個(gè)密碼是否又能夠被破解呢?
申迪：比如說需要知道帳戶名，你看我們在初始界面的時(shí)候，其實(shí)這個(gè)帳戶名是被隱藏了一部分的，并不是一個(gè)完整帳戶名，那么就需要點(diǎn)擊忘記密碼，需要一個(gè)完整的用戶名，當(dāng)然很有可能是一個(gè)手機(jī)號，所以這一步是可以繞過的，那比如說我現(xiàn)在輸入一個(gè)本機(jī)的手機(jī)號。
研究人員提醒我們，由于在現(xiàn)實(shí)操作中，很多消費(fèi)者將自己的手機(jī)號碼設(shè)定為賬戶名，因此這次試驗(yàn)就模擬了這種常見的情況，研究人員在賬戶一欄輸入手機(jī)號碼后，然后發(fā)送短信獲取手機(jī)的驗(yàn)證碼。
申迪：驗(yàn)證碼會發(fā)到這個(gè)手機(jī)賬號本身上，當(dāng)然在撿到這部手機(jī)的情況下，就可以把驗(yàn)證碼拿到了，那么進(jìn)入下一步。但是下一步還有一個(gè)驗(yàn)證，就是身份證號。需要知道這部手機(jī)機(jī)主的身份證號，對于這一步來說，就和微信是同一種情況下，就是說這個(gè)身份證號還是很難拿到。等于說攻擊者到這一步就沒有辦法了。
環(huán)節(jié)測試到這里，如果沒有獲得正確的身份證號碼的話，支付寶的登陸密碼也無法進(jìn)行修改，為了進(jìn)一步測試，記者假定手機(jī)獲得者能夠得到身份證信息，在修改了登陸密碼后，記者成功地登陸了這部手機(jī)上的支付寶的界面。賬號里的資金情況開始一清二楚。
申迪：資金帳戶余額沒有，銀行卡里面有三張，然后余額寶里有錢。
央視財(cái)經(jīng)《經(jīng)濟(jì)半小時(shí)》記者：余額寶里面有多少錢?
申迪： 有三萬塊錢。
看到了支付寶里有錢，但這樣是否就能夠消費(fèi)或者轉(zhuǎn)移這三萬多元錢呢?
申迪：在支付寶做任何操作，只要涉及到金錢轉(zhuǎn)出、轉(zhuǎn)入相關(guān)的，都會給你這個(gè)提示，都會輸入這個(gè)支付密碼。找回是需要條件的，這里面提供兩種方式，一種是通過短信，加上這個(gè)安保問題，一種就是短信，加上這個(gè)你存到的快捷支付的銀行卡的信息，那比如說我們現(xiàn)在選擇第一種。第一種第一步，需要一個(gè)短信的驗(yàn)證碼，這個(gè)驗(yàn)證碼也會發(fā)到這個(gè)本機(jī)手機(jī)上，等于這一步就不會有問題了。
在得到驗(yàn)證碼之后，還要正確填寫一個(gè)安保問題，通常這個(gè)問題是手機(jī)用戶自己個(gè)性化設(shè)定的，有的手機(jī)用戶設(shè)計(jì)的就是自己媽媽的名字，而類似這樣私密的問題，是撿到手機(jī)的人很難找知道，這也就是說修改支付寶密碼的可能性幾乎為零。在這次測試中，支付寶的安全完全有保障，即使手機(jī)丟失，別人也無法從這臺手機(jī)上盜取資金。
手機(jī)網(wǎng)上銀行安全嗎?
找回支付密碼需要回答的有關(guān)機(jī)主的私密問題
申迪：我們再看一下這個(gè)招行銀行，比如說我們從這個(gè)應(yīng)用里打開之后，那么比如說我們現(xiàn)在通過它轉(zhuǎn)帳。這個(gè)時(shí)候提示，這個(gè)用戶沒用開通轉(zhuǎn)帳協(xié)議，那么它們下面給出的這個(gè)說明，就是說如果要開通這個(gè)網(wǎng)銀協(xié)議，需要你去通過專業(yè)版去開通，那就需要一個(gè)U盾，然后在PC上去開通，就不能通過手機(jī)去開通。
研究人員為了展開測試，繼續(xù)假定手機(jī)用戶開通了銀行的轉(zhuǎn)賬協(xié)議，這個(gè)環(huán)節(jié)，銀行卡的支付密碼又能否修改呢?
申迪：包括工行和建行，也有類似的操作，就是在這種手機(jī)上，是沒有找回密碼這種操作的，沒辦法通過拿到手機(jī)就可以找到這個(gè)用戶密碼。
通過剛才三次嚴(yán)謹(jǐn)?shù)臏y試，申迪告訴記者，現(xiàn)在手機(jī)端的電子銀行絕大多數(shù)沒有提供修改密碼的選項(xiàng)，因此，旁人是無法通過撿到的手機(jī)攻擊電子銀行的。事實(shí)上，某公司在移動支付發(fā)軔的初期就意識到，隨著移動電子商務(wù)快速興起，用戶的智能手機(jī)將會面臨一一個(gè)非常巨大的威脅，各種各樣的病毒、木馬和惡意軟件會瞄準(zhǔn)用戶手機(jī)綁定的資金，針對支付上的漏洞，做各種各樣的小動作，為此研究人員做了常年的跟蹤研究，手機(jī)丟失之后究竟會有怎樣的風(fēng)險(xiǎn)，申迪給出了這樣的判斷。
申迪：對于手機(jī)丟失來說，其實(shí)并不像其它方式去造成那么大的風(fēng)險(xiǎn)，這個(gè)風(fēng)險(xiǎn)其實(shí)是可控的。只要用戶保護(hù)好自己的隱私，特別是像有身份證號、銀行卡號這些東西只要保護(hù)好，其實(shí)是不會造成這么大的機(jī)率去丟失的。那么現(xiàn)在我們其實(shí)也沒有發(fā)現(xiàn)說，手機(jī)丟失會造成這種銀行卡損害的這種案例，所以說這個(gè)風(fēng)險(xiǎn)其實(shí)是可控的。
專業(yè)的互聯(lián)網(wǎng)安全公司得出了這樣的結(jié)論，為了進(jìn)一步驗(yàn)證測試的可靠性，記者又趕到了北京市公安局網(wǎng)絡(luò)安全保衛(wèi)總隊(duì)進(jìn)行求證。
北京市公安局網(wǎng)絡(luò)安全保衛(wèi)總隊(duì)四大隊(duì)民警史志焱：如果手機(jī)單獨(dú)的丟失，是對它的移動支付和一些網(wǎng)銀的安全是不會造成什么太大的影響，但是如果手機(jī)和錢包一起丟失，里邊包含自己的身份證號，身份證、銀行卡，這樣的話可能對手機(jī)、對自己的帳號、資金安全造成非常大的影響。
專家提醒消費(fèi)者若整個(gè)包一起丟失需引起警惕
史志焱告訴央視財(cái)經(jīng)《經(jīng)濟(jì)半小時(shí)》記者，北京市公安局網(wǎng)絡(luò)安全保衛(wèi)總隊(duì)成立于2011年2月，主要負(fù)責(zé)互聯(lián)網(wǎng)安全管理、打擊涉網(wǎng)犯罪以及重要信息系統(tǒng)保護(hù)等工作，也就是通常所說的網(wǎng)絡(luò)警察，對移動支付的犯罪形態(tài)，北京市公安局網(wǎng)絡(luò)安全保衛(wèi)總隊(duì)常年進(jìn)行著深入的研究，采訪時(shí)史志焱告訴記者，盡管嚴(yán)密的檢測每天都在進(jìn)行，但從總隊(duì)成立至今，他們還沒有接到一起因?yàn)槭謾C(jī)丟失而造成的財(cái)產(chǎn)損失的案件，他得出了與某公司公司申迪同樣的結(jié)論，但他強(qiáng)調(diào)，這不意味沒有其他的財(cái)產(chǎn)風(fēng)險(xiǎn)，犯罪分子可以利用你的手機(jī)，展開其他的犯罪動作。這一點(diǎn)更需要警惕。
史志焱：但是如果手機(jī)丟失后可能會延伸出其它的一些問題，比方說手機(jī)里的通訊錄，QQ好友，微信好友，他們的信息可能會對獲取你手機(jī)的人，可能被惡意盜用，來騙取你親朋好友的一些財(cái)產(chǎn)之類的東西。
手機(jī)支付面臨木馬、釣魚、詐騙諸多風(fēng)險(xiǎn) 用戶需加強(qiáng)安全意識
進(jìn)入2012年，國內(nèi)手機(jī)支付市場開始呈現(xiàn)井噴式增長。中國支付清算協(xié)會近日發(fā)布的《中國網(wǎng)絡(luò)支付安全白皮書》顯示，2013年移動支付市場規(guī)模預(yù)計(jì)超過8000億元，達(dá)到2012年規(guī)模的5倍以上。而與此同時(shí)，2013年針對手機(jī)的病毒、木馬明顯增多，直接針對手機(jī)應(yīng)用的支付隱患增加，手機(jī)相比PC端更安全的看法已經(jīng)改變。這使得移動安全問題更顯突出，那么，手機(jī)一旦丟失之后應(yīng)該如何處理呢?
手機(jī)支付已然成為新時(shí)尚
某公司互聯(lián)網(wǎng)安全專家萬仁國：你肯定是要有一個(gè)先后順序，看這個(gè)風(fēng)險(xiǎn)，比如說你的銀行卡里面有很多錢，或者說你的銀行卡因?yàn)榻壎诉@些快捷消費(fèi)之后，比較容易把這個(gè)錢消費(fèi)出去。那可以先優(yōu)先把這個(gè)銀行卡先給凍結(jié)了。那如果說你的這個(gè)第三方支付平臺里面沉淀了很多資金。那么這個(gè)時(shí)候我覺得，第三方支付平臺也應(yīng)該先去做一個(gè)掛失、凍結(jié)處理。
王仁國建議，如果手機(jī)丟失千萬不要慌亂，要在第一時(shí)間凍結(jié)綁定的銀行卡，然后再去補(bǔ)辦手機(jī)號碼，平時(shí)養(yǎng)成一些良好的使用習(xí)慣也是至關(guān)重要的。而在北京市公安局網(wǎng)絡(luò)安全保衛(wèi)總隊(duì)，公安人員給出了具體的防范措施。
北京市公安局網(wǎng)絡(luò)安全保衛(wèi)總隊(duì)四大隊(duì)民警史志焱：最好先設(shè)置一個(gè)手機(jī)的開機(jī)密碼，這樣的話在別人獲取你手機(jī)的時(shí)候，他是無法進(jìn)入你的手機(jī)操作系統(tǒng)的，如果別人想使用你的手機(jī)，必須要進(jìn)行刷機(jī)，這樣的話手機(jī)里所有的個(gè)人信息，包括資料，都會被清除。這樣第一別人無法獲取你手機(jī)里的各類個(gè)人信息和隱私之類，這樣別人也登錄不了你的各種移動支付平臺。
干警告訴記者，目前，設(shè)置開機(jī)密碼是對手機(jī)信息非常有力的保護(hù)，同時(shí)他提醒大家，手機(jī)開機(jī)密碼的設(shè)置不能過于簡單。
某公司互聯(lián)網(wǎng)安全專家萬仁國：一定要養(yǎng)成良好的使用習(xí)慣。比如說我這個(gè)密碼不要太簡單，比如說4個(gè)1、4個(gè)2�；蛘哒f用自己的生日，或者用這手機(jī)號其中的一部分，或者說手機(jī)號作為相應(yīng)的密碼。在我們的手機(jī)里面，不要放太多的個(gè)人隱私的信息。比如說自己的身份證號，包括可能有些人他會直接把自己的身份證號用相片的形式給拍下來，那么像這些信息最好不要在手機(jī)里面留存。如果說有條件，建議安裝一些這種加密軟件。將自己的相片、包括短信之類的做一個(gè)加密。
除了養(yǎng)成一些良好的使用習(xí)慣以外，一些專家也強(qiáng)調(diào)，釣魚軟件和釣魚網(wǎng)址現(xiàn)在才是移動支付面臨的真正挑戰(zhàn)。
北京市公安局網(wǎng)絡(luò)安全保衛(wèi)總隊(duì)四大隊(duì)民警史志焱：實(shí)際上在互聯(lián)網(wǎng)日益發(fā)達(dá)的今天，除了手機(jī)丟失造成了風(fēng)險(xiǎn)外，木馬、釣魚、詐騙是手機(jī)支付面臨的最大風(fēng)險(xiǎn)，所以建議用戶在使用手機(jī)的時(shí)候盡量不要去越獄手機(jī)，這樣的話，因?yàn)樵姜z的手機(jī)會造成手機(jī)可以隨意安裝軟件，而一些不法分子就通過手機(jī)用戶安裝軟件來竊取用戶的一些大量信息。另外用戶在網(wǎng)上購物的時(shí)候，不要輕易點(diǎn)擊不明的鏈接，要盡量按照網(wǎng)站的購物流程來購買商品，這樣盡量使這些不法分子無可乘之機(jī)。
【半小時(shí)觀察】
全球最權(quán)威的IT研究與顧問咨詢公司高德納提供的數(shù)據(jù)顯示，2013年全球智能手機(jī)銷售量達(dá)到9.68億部，第一次銷量超過普通手機(jī)�，F(xiàn)在，依托于智能手機(jī)等移動終端的移動支付已展現(xiàn)出巨大的發(fā)展空間，在此我們提示，如果手機(jī)丟失、且手機(jī)號已經(jīng)綁定了支付工具，建議用戶盡快向支付服務(wù)提供方掛失，聯(lián)系通信運(yùn)營商掛失SIM卡，并向銀行掛失凍結(jié)支付工具已經(jīng)綁定的銀行卡。如果身份證、銀行卡等也一并丟失，同樣需要盡快進(jìn)行掛失處理。丟失手機(jī)的用戶還可以在電腦上登錄支付寶賬號，關(guān)閉無線支付業(yè)務(wù)總開關(guān)。同時(shí)，我們建議手機(jī)用戶盡量從正規(guī)渠道下載安裝相關(guān)軟件及應(yīng)用，避免木馬病毒的侵入。而支付軟件開發(fā)公司和管理部門也應(yīng)防患于未然，針對可能出現(xiàn)的情況提高防范門檻，加大跟蹤打擊力度，只有讓移動支付更安全，它才有更大的發(fā)展前景。
