支付宝被盗号了！探讨一下各种可能性。

[manoon]

尽早要被移到水深火热节点，但我还是想先在这里发一下。

别跟我提什么大数据撞库
和我自己不小心泄漏密码之类的
这非常不科学
登录密码是 20 位的大小写加数字混合，支付密码是 10 位的大小写加数字混合。
其它的网站从来不用这么复杂的密码。

0.手机从来没有登录过支付宝，也从来没安装过 app （手机型号是 BB8700 你们觉得能装什么 app ？）
而且手机号不能直接登录，并且没开通什么小额支付功能。这个手机号也从来只接受银行和支付宝的短信，不打电话也不接电话。

1 ，支付宝从来都是用网页版加数字证书什么的登录(mac os 环境下 firefox 浏览器）

2 ，下午 2 点多收到 95188 发来的付款验证码，此时我在某个商场的电梯里面。

3 ，所以，我就是想说，我的支付宝被”盗“号了，而且支付密码也被”盗“了，（或者是被人绕过了）

现在去改密码。

这里只是提醒大家，不要以为自己做到”万无一失“了，密码肯定就不会被盗。

然后想跟大家探讨一下，这是何等高人，何种高端技术？能够搞到我的 2 个如此”复杂“的密码？

[manoon]

好吓人，都登录不了。。。密码也改不成了，我应该改完密码后，再来得瑟的。。

”该账户不存在或登录密码出错已达上限，请更换账户。"

或者是

"机器开小差了，请重试"

[jugelizi]

http://wooyun.org/corps/%E6%94%AF%E4%BB%98%E5%AE%9D

[manoon]

天啦撸。。。
感觉被 5s 给弓虽女干了，我从来没在 5s 上面安装过支付宝呀。

从淘宝账号进入支付宝的后台，居然来了一个

终端设备： iPhone 5s

[manoon]

@jugelizi 3q

[ccbikai]

之前支付宝也意外登录了，密码是独一的，客服也没说出为啥

[manoon]

@ccbikai 我想说，你们都活该，你会不会打我？因为你们用过手机端 app 。

然而，我什么都没用过呀，我好委屈！

对！！！
我的理论就是，你在享受便利的同时，就应该承担一定的风险。
然而，我并没享受过手机端的便利呀，各种红包和各种免手续费转帐诱惑我，我都从未妥协。

[paradoxs]

楼主报案了没有？

[b821025551b]

那个什么百万的意外险是不是可以用了？

[cchange]

计算机里 hosts 文件留意下~

[fengxing]

支付宝有保险的，有金钱损失按保险上说的的联系工作人员，当然你要是没买就算了

[fengxing]

有便利就有一定的风险，当便利大于风险的时候，使用更便利的服务没什么不妥。
例如银行卡，信用卡还有可能被盗刷，难道以后就不用银行卡，信用卡了么。

[ETiV]

我觉得这帖子的 LZ 可能有些线索...

人肉 @Misakiye
https://v2ex.com/t/259925

[honeycomb]

trojian?

[honeycomb]

@fengxing

@fengxing 问题是我们有更安全的芯片卡，或者有 apple pay 这样作为替身的使用卡的手段。它们就比磁条卡安全。

然而当便利大于风险时，避免风险而放弃便利没什么不妥：

就算如此我们还是可以因为安全原因而不使用银行卡，因为我们还有存折，存单。如果觉得这样不好，还可以只使用现金，一切赚来的钱都立刻取出，可是这么做比存银行来说，比较危险。

所以只要不是原则问题，我们的喜好比利益更重要。

[dikcen]

短信的付款验证码，那就是还没有付款喽？谁手滑打了你的支付宝账号（不包括密码）？

[manoon]

@dikcen 正常情况下，只输入了支付密码以后，才会收到短信验证。特殊情况我还没遇到过。-----你这个说法也有点巧合，必须是巧合中的巧合才能出现，刚好有另外一个人的支付宝帐号和我的支付宝账号相差一个字母，而且密码是相同的。-----（我的支付宝不允许用手机账号登录，只允许邮箱登录，因为我的是 07 年就注册的支付宝账号吧，当时不需要强制用手机号来注册）

[manoon]

@cchange 谢谢。这个梗，我去查查。但我忽然有点怀疑，是不是跟 firefox 的 flash 插件的相关的漏洞有关了，因为我必须开 flash 才能登录的，一直都是这样。

[manoon]

@fengxing 买了呀，然而我支付宝最多不超过 3 位数的金额，我就要提现的。。。。慌慌张张中，我已经关闭了快捷支付，这个功能也略有不妥。（一开始我是拒纸的，后来没次充值都要跳到网银嫌麻烦，我又妥协了）

[yahoo21cn]

pc 中木马了吧

[qian19876025]

密码公式被人破解了 能如此清楚的 或者你常用密码被人洞悉 或者是你熟悉的人
或者 是你 firefox 有恶意插件

[ayanamist9]

浏览器版真的会比 iOS 版安全吗？值得怀疑

[fengxing]

@honeycomb 芯片卡也有可能被盗取，并不是绝对安全，否则你认为黑市上那么多黑卡都是怎么来的？
钱放家里还有可能被盗取，放的时间长还有可能粘连等现象
安全和便利从来都是相对立的，这就要看个人的取舍了。

[fengxing]

@manoon 不是应该先去找支付宝赔偿么.........

[manoon]

@yahoo21cn 从未在 win 系统上登录过支付宝（最近几年）
@qian19876025 有可能，我的确是用了一套自创的公式组合。
@fengxing 又没丢钱。。。手机在我手上，哈哈。

[dd99iii]

也许输密码的时候被偷看了

[Aixtuz]

肯定是因为你看了 @Misakiye 的帖子~

[wolfan]

话说，已经好久没有在网页上使用过支付宝了，都是在爪机上支付。
爪机也把敬业福卸载了，反正用淘宝也能支付。

[loudis]

也许是伪基站发短信，然后等你登陆的时候盗密码呢，哈

[manoon]

@loudis 听上去很有道理
然而 可能性并不大
等我安安静静过完这个生日
明天再打电话调戏一下支付宝客服

[qian19876025]

@manoon 以前为了追某人 想获得其住址 就是用这人的几个 ID 号码组合 出来的 不过貌似现在支付宝不都是异常登录有提醒么？

[woorz]

这个不关 iphone 什么事吧

[hqs123]

有点恐怖啊~

[honeycomb]

@fengxing
1 ，芯片卡比磁条卡难盗取
2 ，可以因为芯片卡能被盗取而不使用银行卡
3 ，同样的原因，可以不使用银行服务
4 ，不使用银行服务，自行保存现金通常更不安全

[asddsa]

1.Mac 中马几率非常大。去数数你有多少非 Apple Store 下载的软件。
2.目前暂未发现支付宝有这么强的绕过漏洞，之前从来没有出现过，可能性极低。
3.是否你的淘宝账号被盗，付款时造成的。
4.既然可以登录，说明跟你在同一个网络环境，故熟人作案可能性非常大。

[yuriko]

我个人感觉 web 版比手机版更不安全……

[wentian]

我对这个感兴趣: 强度和复杂度如此大的支付宝登录密码, 是怎么被盗的?
从个人角度来讲, 「输入支付宝密码的场合」, 这个场合应当被限制限制再限制, 具体来说, 「自己能十分信任的并且完全属于自己的各方面都很安全的智能手机(特指没有越狱的苹果手机)」

[wjfz]

我之前有这么一种状况：

办了新手机号，绑定支付宝
用手机号搜我， WTF?! WTF?! 竟然搜出了别人！！！‘
这尼玛别人要是给我转钱那不是直接转错了？
问支付宝之后，说是同一个身份证号，同一个手机号，可以绑定多个账户。

我真是操了他全家。
这块的逻辑真特么恶心。

[jamiesun]

绑定手机号码还是老号码可靠。

[manoon]

@yuriko 何出此言？至少手机和电脑是分开的。即使丢失其中一个，也不会立即造成损失。

@asddsa 谢谢。中马这个，的确 有好几个非 Apple Store 下载的软件。我今天又仔细查了一遍，暂时没发现相关线索。我会继续查本身的环境问题。 淘宝帐号先前的确有给过一个非常信任的客服，但只给了登录密码（此密码跟支付宝密码是不同的），没有付款密码。
@woorz 呃，我从来没用过手机端的支付宝，但后台却出现了相应的登录设备清单。

[yuriko]

@manoon 就像上文说的，不正规的本地应用（正规的也不好说），各种浏览器插件等等，都能在你使用 web 端的时候干点什么。相比之下，移动端的专属 APP 要难入侵多了

[Felldeadbird]

@b821025551b 我也想问这个。。支付婊的保险是不是会赔付？？听说要报警，出回执才会理赔的。但之前有人报警了，结果不受理……

[asddsa]

@manoon 你收到的那个付款验证码就是在输入支付密码的时候风控同时发送的，那个客服如果跟你不在同一个网络环境，淘宝应该也是不太好登录的，所以还是看一下熟人作案。另外看一下你的淘宝绑定邮箱是否为 163 之类的，最近是否有登录异常。

[salary123]

天啊，楼主的安全意识简直跟我一样。这样也被盗。简直了。估计电脑中木马可能性比较大吧。但 MAC 也那么容易中毒吗

[manoon]

@salary123 你好像 有意低估 妹纸头像的安全意识了。。。。呃 偶也是看着八进制，岁月联萌，鹰派这些社区混大的！

[charlie21]

这个应该是 ... 的处理范畴
支付宝账户安全险： https://baoxian.alipay.com/zhx/join.htm

[aaaazzzz]

您好，方便留下您的联系方式？

[manoon]

@aaaazzzz 你是支付宝工作人员?

[Fleeting]

话说现在的支付密码只能是六个数字了，楼主的支付密码还是以前的那种？还是楼主已经很久没用支付宝了？

[manoon]

@Fleeting 我是以前那种，并且支付宝登录密码和淘宝登录密码都是不同的（貌似现在的号都会要求统一，然而我的号并没有）

[yeeyeung]

楼主的账户是不是网易家的邮箱？

[manoon]

@yeeyeung no
我的是浪娘家的邮箱

[yeeyeung]

@manoon 我也觉得，看了这么多被盗的不能把锅都甩给 163 啊哈哈哈哈

[lovelynn]

@ETiV 看到你这个 @我简直笑的生活不能自理。已私聊。笑得够呛

[Gua]

最后支付宝那个保险赔钱了没有？