关于付 apple developer 年费时蹊跷的信用卡盗刷事件

[lasse]

在付 apple developer 年费过程中信用卡被盗刷 3 次，以下是具体经历，原因还是不清楚。

4 月 22 日我使用 SS ，新加坡的代理， MAC 下的 CHROME ，打开 APPLE ID 的注册邮箱 GMAIL 发现 APPLE 提醒我 developer 资格 30 天后要到期，需续费 688 元，所以我二话没说点开链接。

登录 APPLE ID 后发现付费页面中发现信用卡的资料都基本填好，补了卡背面的 3 位数字，核对了信用卡地址信息无误后，点击提交。系统红字提示我交易错误（ XXXX 错误，具体是啥忘记了），然后我看到招行微信提醒我消费了新加坡元 4 百多元，交易商户是一个 CALL CENTER 。

我没有 4 百多元新加坡币折合多少人民币的概念，以为正好等于 688 人民币，只是扣费时错误，招行没记账但是提醒了，所以又操作了一次，将信用卡信息重新填写一遍，再点提交，还是提醒我错误，立刻又收到一笔同样的 4 百多的消费信息。

我没太当回事，想过几天换个信用卡再试。。直到 4 月 30 日，收到一条招行发来的日本币消费 6 万多元，消费地是日本，才引起了警惕，打电话给招行，目前这三笔总计 8 千多人民币的不明消费都由 VISA 国际卡组织在追讨中。。。

我有检查了提醒我续费的邮件，查看 RENEW 链接地址，都无误，确定不是钓鱼网站，所以感觉奇怪，这卡是怎么被盗的？ （因为还在申诉，盗刷的具体金额没列）

[VersusClyne]

所以邮件是啥样的 真实链接是啥 不妨 po 出来呗？

[lasse]

@VersusClyne


Renew now 地址： http://c.apple.com/r?v=2&la=en&lc=us&a=my1iLtIhBgrQQPaz1elc8FbsvckwVE%2BYtgnmCw4uY%2FqByiZCC%2BmJBPKOLchDv%2F9G&ct=aI5U5c0r5N

[lasse]

[49]

那个新加坡 SS 即使有问题，付款页面英国也是 HTTPS 吧？

[lasse]

@49 是的，我刚刚又调整到新加坡的代理点击那个 RENEW ，发现是 HTTPS 无误，这可能也是为啥我当初认为不会有事的原因

[VersusClyne]

@lasse 从登陆开始全程 https 链接*.apple.com 且没有提示证书错误或者此网页的部分资源未加密？

[lasse]

@VersusClyne 我现在已经完成缴费，所以再点击 RENEW 后，在 CHROME 里直接跳完成登录的结果界面， HTTPS

[VersusClyne]

@lasse 你还记得当时登录时 appleid.apple.com 页面是不是也是加密的吗？

[lasse]

@VersusClyne 不太记得了，但是加不加密是一回事，主要是点开后，我信用卡信息，我的地址信息是回显的，那肯定是登录到我的 APPLE 账户内了

[shippo7]

信用卡和地址信息是在网页上（不是输入框），还是 Chrome 在输入框的自动完成？如果只是 Chrome 的自动完成，不一定是 APPLE 的网站，任何网页上标记为信用卡和地址信息的输入框， Chrome 都可以自动完成

我觉得唯一的漏洞是，那个"Renew Now"按钮的 URL 并不是 https ，在跳转到登陆页面的过程中有可能被劫持，当时可能被跳转到一个钓鱼网站。要看那个新加坡 SS 是不是可靠。

[lasse]

@shippo7 信用卡和地址信息是输入框，信息已经填写在输入框内。
我很少用新加坡代理，那天收到微信提醒是新加坡元，我还楞了下：“想难道代理带我去新加坡的 APPLE 进行扣费了？”

[VersusClyne]

http 的 c.apple.com 被劫持重定向至虚假的 http 的 appleid.apple.com 登录页面窃取用户数据，登录后跳转至正常的 https 的 developer.apple.com 页面，这个流程应该可行=.=

另外，感觉也有可能是因为用 ss 新加坡线路导致清算使用的是当地货币的影响？
实际上只是单纯的本地浏览器插件窃取用户数据问题？
可以先排查一下有没有装了啥不可靠的浏览器插件-，-

[squid157]

新币 400 可不是 688 人民币啊😂

下次都小心吧， SS 也未必就是可靠的，自己计算机也有可能有毛病啥的，这种跟钱沾边的就算再有钱也得留神是吧

[lasse]

@VersusClyne 安装并启用的插件是： AdBlock 2.56
Adblock Plus 1.11
Proxy SwitchySharp 1.10.6
Readability 3.0.15
State 1.0 （注： A smarter way to bookmark web pages ）
印象笔记·剪藏 6.8

好像没有可疑的

[lasse]

@squid157 2000 多人民币。。。。。如果 MAC 中木马，有什么软件可疑查吗？

[shippo7]

我觉得不用考虑浏览器插件和系统中毒这两种情况了，使用新加坡代理，扣的是新加坡元，而且是输入完之后立即被扣款，肯定是和代理有关。

[squid157]

@lasse Mac 下面杀毒软件，几个国际大厂应该都有的。我自己并没有在用，感觉好习惯最重要。

[lasse]

@shippo7 是的，点击提交后立马招行微信提醒消费，点了两次提醒两次，我当时看了下招行手机银行信用卡未出账单，发现没有记录（其实是要过几天才登记进去）就没太怀疑。。。最后一次是几天后没任何操作下的一笔 JP 消费，才彻底引起注意。

[Sunnyyoung]

我觉得 SS 比较可疑。假如怀疑是否中毒，感觉杀毒软件都不够靠谱彻底了，全盘抹盘重装才比较安心=。=

[ffffwh]

自建的 55 ？看看 VPS 有没有被嘿。

[nvidiaAMD980X]

楼主，能不能把你的 VPS provider 说出来？不会 ss 账号是从他人处买来的吧？
另外，我一直怀疑 ss 的安全性，这就是我买了 surge ，但不用的原因。
ss 不能替代 TLS 或者 VPN ，本质上只是设置了密码的网络代理协议，不能用作匿名通信方案，该协议的目标不在于提供完整的通信安全机制，主要是为了协助上网用户在严苛的网络环境中突破封锁。

[wske]

从来不用别人的 ss ，随随便便劫持你嗅探你

[lasse]

@nvidiaAMD980X
sg02-29.ssv7.net
sg03-29.ssv7.net
sg05-29.ssv7.net

具体哪个不记得了。 SS 账号就是 SS 官网上买的

[nvidiaAMD980X]

@lasse 别用他家的 ss ，自己购买 VPS 搭建一个 ss ，难的话， bandwagon 一键搭建 ss ，老外的 VPS 不用担心。
而且这个不是 ss 的官网，是他人抢注册的，记得他还搞了个 EV 证书………… ss 的源代码本来是在 GitHub 上的，后来作者被请喝茶后，就将 GitHub 上的代码全部删除了。
现在 ss 是有他人危害，但是源代码公开，这点可以放心。

[GhostFlying]

然而如果确保 SSL 靠谱的话。。代理实际上并不能对你做什么

[327beckham]

@lasse SS 官网。。。好像没有官网？官网是 github 某个 project ？好像不卖 ss 帐号的吧。。

[laiyingdong]

1.SS 也好 虚拟专用网也好 服务器只要不是自己控制或者是由自己信任的人 /组织控制的话都是有风险的
2.99 美元=134.7093 新加坡元（来自某度） 所以这个应该不是 Apple 的
3.世上也许真的有很多“巧合”吧，那么你 Apple 的 RMB 688 或者是 US$99 到底交了没？

[JJaicmkmy]

@lasse
@nvidiaAMD980X
@327beckham
shadowsocks.com 是 @Showfom 的

[327beckham]

@JJaicmkmy 恩，代码的地址应该是 https://github.com/shadowsocks, 这里写着官网应该是 http://shadowsocks.org/，应该不是.com 的

[typcn]

SS 是没有 Forward Security 的，如果是公用帐号（不止一个人知道密码）或者弱密码，即使服务器完全受信任，也是毫无安全性可言的

[Showfom]

@lasse 请不要公开节点 用新加坡节点自然就跳转到新加坡 l

[Showfom]

@JJaicmkmy 是我们香港公司运营的

[shiny]

shadowsocks.com 我也在用

[Showfom]

你输入的信用卡信息我们 SS 服务器不会做任何记录

楼主有没有问银行你的信用卡具体在哪里被盗刷的？是网上刷的还是线下刷的

[Showfom]

请楼主后台发一下服务单，我们检查一下你的帐号是否有异地登录（ SS 帐号是否被盗）

如果楼主最后证实是 SS 服务器的问题，我们保证负责你所有的损失包括误工费和精神损失费，如果证明和我们没关系，请楼上自己瞎猜测的人自重。

[lasse]

@327beckham 我说的 ss 官网就是 https://www.shadowsocks.com ， 他们家是卖服务的，价格也不贵。。我所有翻墙全靠他家的服务了。
@Showfom 两笔新加坡的不可能是线下刷，因为我点完提交就有交易提醒了。而且两次间隔了一些时间，都是点完提交就收到提醒。 ss.com 的服务我现在还在用，节点用 US 的，以后也会继续用，只是这次新加坡节点上发生的事情无法解释
@laiyingdong 这 3 笔不明消费不会顺带帮我把 apple 的费用交了。后来我直连上网换信用卡号后把钱交了。

之前我以为收到的那封催收邮件就是钓鱼邮件，但是后来发现邮件没问题，是 APPLE 发的。

[Showfom]

@lasse 所以请发一下服务单 提交一下银行给你的刷卡记录和网站 我们这边也帮您排查一下看看这个时间点是不是你自己登陆的

[Showfom]

@lasse 对了别忘记提供确切的时间以及对应的时区

[lasse]

@Showfom 是我登录的，否则不可能我提交了就有消费提醒。现在银行还没查清楚，也就是说这些钱有要我自己买单的可能性，所以等银行确定把钱退我了，我再配合你们查下，不然银行说钱是你自己上网不当消费的，我只能自认倒霉。

[Showfom]

@lasse 建议你装个杀毒软件排查下 Mac 是否中了木马，另外如果你用全局或者 pac ，默认浏览器走系统代理访问的网站出口就变成新加坡了，有些消费的网站就是按照你登陆的 IP 来判断货币，所以不能排除可能中了木马然后被盗刷信用卡。

[lasse]

@Showfom 我又看了下银行的消息， 3 笔交易类型都是“网络交易”。

[Sunnyyoung]

@Showfom 赞一下服务

[Showfom]

@lasse 应该会有具体的网站名称以及对应的时间 我们已经安排技术去排查这三台 sg 服务器了

[lasse]

@Showfom OK 。。。问题的确没查清，所以如果没有明确的分析，大家不用帮顶了，我不想无意中伤 ss

[VersusClyne]

@Showfom 贵司的 ss 什么时候支持 ssr 啊？很期待-，-

[cxbig]

有信用卡干嘛不自己弄 VPN ？现在一键 Docker 部署 L2TP 就几分钟的事。

[neroxps]

会持续关注楼主事态发展

[newbieo0O]

比较好奇信用卡盗刷后如何追回。请楼主持续更新。

[newbieo0O]

没更新 ？？？

[killsting]

感觉不是 SS 的锅，继续关注。

本来用哪一国 IP 就会用哪一国刷卡，怀疑是恶意跳转了吧。

而且刷了两次 400 新加坡元=1900.76 人民币元，这本来就是很奇怪的事，你自己操作的。你当时也没有在意 400 多新加坡币是多少。而且还操作了两次。

所以建议下次涉及到金钱交易，不要用 SS 。

[zj299792458]

SS 一个应用层协议，竟然能破解传输层加密，感觉把这技术卖给黑客市场分分钟入账百万，完全不用来盗刷……楼上优先怀疑 ss 的都不是学计算机的吧