Games Animation Forum

查看單個文章
舊 02-26-19, 09:20 AM   #292
歌絲˙暮斯
The One
一擊格神
 
註冊日期: Feb 2003
文章: 21,203
PSN  IDKENZHAYA
密碼入身份證即啟動飛線
輕易攻破csl. 操控支付寶

引用:
【本報訊】SMS飛線惹驗證碼外洩危機,《蘋果》實測不同電訊商發送電子錢包驗證碼的SMS飛線情況,發現第三方只需獲取客戶簡單個人資料,即使並非本人,也可啟動SMS飛線服務,尤以csl.的保安程度最低。熱門電子錢包中,支付寶及WeChat Pay均失守,會因SMS飛線被截取驗證碼,其中登入支付寶後,更可更改原有客戶密碼,甚至操控賬戶過數。
記者:龔蕙芝 李錦欣

去年國泰及環聯等機構接連爆出洩密事故,共外洩逾千萬個客戶資料,包括姓名、電話號碼、身份證號碼、出生日期及住址等。網絡保安專家曾指外洩資料或被黑客放上Dark Web永久保存。《蘋果》測試SMS「被飛線」情況,發現六大電訊商中,數碼通、中移動、中聯通及香港寬頻,都沒提供SMS飛線服務,只有3香港及csl.提供SMS飛線。

3香港致電確認阻申請

記者以第三方手機,致電3香港及csl.客戶服務熱線,申請SMS飛線。csl.僅需原機主姓名、電話號碼、身份證及回答一個簡單問題,例如原機主支付電話費形式(現金或銀行轉賬),即獲審核申請。至於3香港,職員會再致電確認,記者至此步驟申請失敗。

在csl.申請成功後,要啟動SMS飛線至其他號碼,第一個途徑可經原機主手機啟動;另一方法是登入網上賬戶,惟記者發現,客戶首次登入密碼全部預設為身份證號碼,由於記者已知原機主身份證號碼,故能輕易進入網上賬戶,啟動SMS飛線。

記者隨即測試四個電子錢包的SMS飛線成效,包括支付寶、WeChat Pay、PayMe及八達通。記者輸入原機主csl.手機號碼登入賬戶後,按「忘記密碼」來獲取驗證碼,發現支付寶及WeChat Pay,均能收到SMS飛線來的驗證碼;PayMe則收不到,八達通只要求電郵驗證。輸入驗證碼後,由於WeChat Pay需經原機主手機認證,才能進入賬戶,記者因此失敗;但支付寶只需驗證碼登入,即可更改登入密碼,並奪取原機主賬戶。

要在支付寶作金錢交易或轉賬,必須提供機主支付密碼,若忘記密碼需提交文件作證,由於可驗證文件包括原機主手機月結單,記者一早因csl.預設身份證為密碼而成功登入網上賬戶,故能順利提交月結單予支付寶驗證,不足一小時就驗證成功,並更改支付密碼,最後成功轉錢。

《蘋果》測試後發現,假設csl.客戶失去個人基本資料,即姓名、電話號碼及身份證號碼,並回答一個簡單問題,由於csl.網站首次登入密碼預設為身份證號碼,故容易啟動SMS飛線;加上支付寶單靠驗證碼,便能奪取原機主賬戶,當黑客再提交csl.月結單給支付寶,便可更改支付密碼,最終可轉賬盜款。

對於以上漏洞,熟悉互聯網科技的資深工程師趙炳權直言,機構以客戶身份證號碼作賬戶預設密碼是「最差嘅做法」,因為「密碼分唔同保安層次,最低保安層次係同人嘅個人資料link up(連繫),所以我哋係唔贊成(採用)」。他建議用戶不應以此作預設密碼,須盡快更改。

WeChat Pay停轉發短訊

資訊科技界立法會議員莫乃光指有關SMS飛線驗證碼,除了金管局,電子錢包營運商應主動通知電訊商,阻截驗證碼飛線,才可令電訊商在系統更改設定,「電訊商喺飛線上就冇乜嘢責任,因為佢都唔會scan短訊內容,但收到(營運商)通知去改(設定),已經解決問題」。

香港電訊回覆查詢指,旗下csl.及1010均提供SMS轉存服務,如金融機構或儲值支付工具,有提供不能被轉駁的短訊發送號碼給csl.及1010,將不會透過SMS轉駁短訊;現即時暫停新登記SMS轉存服務,並檢討是否有保安漏洞並予以堵塞。

支付寶香港發言人回應稱,對存在風險賬戶,風險管理系統會攔截交易,要求用戶完成多重認證或致電客服核實身份,至今無賬戶被盜事件。WeChat Pay HK指已即時跟進及更新系統,短訊均不會轉發至其他手機號碼。

支那寶,死得早。
由手機版發出
歌絲˙暮斯 目前離線   回覆時引用此篇文章
 

返回主題: [愛惜自由] WeChat、淘寶將敏感資料傳到中國; 英國為F-35B踢走華為 5G