刚刚我的支付宝被黑客盗刷，请问他们怎么实现的？

[tonitech]

事情的经过是这样的：在2014年2月19日14:51:43的时候第一笔他刷了我50元，我收到了短信，感觉不对劲！于是登陆了发现根本不是我消费的，我感觉到CCAV报道的事情发生在我身上了，于是我果断改密码，改的过程中在2014年2月19日14:54:00的时候又被刷了一笔50元。那家伙开始变本加厉了！第三笔是100元，不过我幸好我改了密码，他输入了三次错误的密码，我的账号也无法登录了。最终我被刷了100元，找了支付宝客服，他们给我冻结了账号，说会给我赔的。

我现在想问他怎么可以不用验证码就可以刷钱呢？说明他是在安全证书的环境下的啊，安全证书也要手机认证的啊，真是太蹊跷了！求大神解答。。。

[thinkif]

关注

[likexian]

手机客户端有个200以下免密码支付，不知道是不是这个

[tonitech]

尼玛。。。图贴错了！！！吐血！！！

[andybest]

周围计算机小白也没出现过这种情况啊，
确定不是密码泄漏导致的？（比如亲戚朋友之类的知道了你的密码）

[vking]

@likexian 赞同+1

[momou]

@tonitech 补上

[andybest]

他两笔50与最后一笔100分别是买了什么东西了？

[tonitech]

@andybest 我觉得很可能是密码泄露，但是知道密码不应该就可以直接动里面的钱啊。

[cohsin]

@tonitech 手机客户端可以。有登录密码就行。200以内免输支付密码。

[tonitech]

@momou
@andybest
补图

[tonghuashuai]

我现在是每笔交易都需要手机验证，这样安全多了

[vking]

@tonitech 买了什么东西？还是转账到其他账号？

[teavoid]

@tonitech 我是很疑惑，为毛是这个图，哈哈哈

[tonitech]

@vking
@teavoid 是www.j1.com这个网站，什么华润集团的网上药店。。。

[tonitech]

@teavoid 不小心发错了。。。要从微博复制url过来。。。

[momou]

让这个网站查下谁收货？

[tonitech]

@teavoid 我可不是水军和软妹。。。哈哈！

[tonitech]

@momou 这就去

[soolby]

@tonitech 没看到这条评论之前我还在想“这尼玛，发个帖子也要找个配图。。。”

[kevinroot]

@soolby 哈哈，配图不错

[lsylsy2]

@tonitech 不用想了，肯定是黑卡充手机话费了

[janxin]

第三笔是100元，不过我幸好我改了密码，他输入了三次错误的密码，我的账号也无法登录了。

明显是楼主的密码被盗了

[tonitech]

@lsylsy2 那个网站是www.t1.com啊。。。

[tonitech]

@janxin 是的，密码肯定被知道了。。。

[binjoo]

越方便，越不安全。。。

[master]

http://www.wooyun.org/bugs/wooyun-2010-051178

http://www.weibo.com/1682454721/Ax9gnwzJQ

淘宝确实承认业务流程导致存在认证的问题。

不过记得支付宝处理帐号盗用基本上属实都是会先行赔偿，然后追偿是他们的事了

[marsorange]

难道是前几天的漏洞？ 太可怕了这个

[hzw]

支付宝打开安全中心 资金页面下有9个措施 楼主你点亮了几个啊
我感觉稳一点的话 1-6还是要点亮的

[Linxing]

昨晚还在知乎上看到关于这个漏洞的回答，据说这个漏洞存在很久了，没想到楼主这么衰...但是前晚还是昨晚就已经封堵了，所以楼主应该不是那个漏洞引起的，而是泄露了密码吧，你也提到了密码输错了三次，如果利用这个漏洞是不需要密码的吧...

[lusin]

支付宝比较恐怖的我感觉还是快捷支付，不需要银行的把关就能把钱付出去，支付宝还拼了命的推广他的快捷支付，不知是何用心

[lsylsy2]

@tonitech 点开那个网站，右侧有手机充值

[tonitech]

@hzw 我之前亮了6个啊，现在它把我的余额支付关闭了。。。这里面几个措施应该是有的加强安全有的存在风险的吧？

[MichaelYin]

@lusin
难道每次购物都用IE支付么？网银就一定安全了？

顺便说一句，支付宝的赔付也是有限制的，我记得是只能赔多少以内，而且次数好像也有限制，记不清了。

因为，天朝还有，骗支付宝赔付的人。。两个人合作故意帐号密码丢失。。。

[flynngao]

作为支付宝人，已经反馈……lz请耐心等待

[tonitech]

@flynngao 感谢感谢，很惭愧得告诉你，我的支付宝2005年注册的，那时候登陆密码和支付密码是可以一样的，我用了9年一直没改。。。现在出事了。。。

[xdeng]

@tonitech 9年没改 太危险了

[yylzcom]

支付宝证书也被盗了？如果证书没有，也应该有短信验证啊，莫非楼主的手机也被动了手脚了？

[manoon]

@lusin 凡是拼了命推的东西，都需要我们坚决抵制（包括手机支付微信支付），好东西自然会有人涌上去。（个人观点）

[manoon]

而且我告诉楼主一个坏消息。最近好几个银行已经取消了“小额消费短信提醒功能”。
如果刚好你用的是那几家银行，你就有可能是被盗刷了50*N 了。

[tonitech]

@manoon 我的是余额宝被盗刷。。。哎，现在已经关闭余额支付功能了。。。

[tonitech]

@yylzcom 我想是密码泄露吧，上面的朋友们已经说了，200以下免密码支付。。。

[nAODI]

是第三方接口进去刷的吗？

[ericFork]

@tonitech 那你这也太危险了，估计黑客输的时候都要笑的……

[ijophy]

会赔偿的~~

[mahone3297]

好怕怕的样子。。。

[v2ex_user001]

手机勿越狱

[9hills]

支付密码和登陆密码一样，密码泄露很正常。

上次CSDN的密码泄露，我就用其中一个Gmail登入他的邮箱和支付宝。要是支付密码和登陆密码一样，呵呵。。

不过没干坏事

[tonitech]

@v2ex_user001 我有windows系列的。。。

[likuku]

「登陆密码和支付密码是可以一样的」…无语了。

赔付嘛，可以在淘宝上直接买对应支付宝的额外保险，一年10块钱保费，支付宝盗刷最多可以赔1万。

[tonitech]

@ericFork 肯定笑尿了，不过我改了密码他肯定很难受。。。

[likuku]

@tonitech 余额宝，「全额赔付」嘛？

[tonitech]

@likuku 嗯嗯，客服说会赔付的，100块钱他们应该不会说什么。。。上次新闻看到的是6万多，那就完蛋了。。。

[likuku]

@likuku 「余额宝」和「支付宝余额」是两码事…前者是那个理财产品，声明「全额赔付」哦。

[ayang23]

昨天淘宝号被盗了，收到骗子的电话，让给他QQ号和银行卡号，我假装没有识破，和骗子聊了很久，最后骗子不耐烦挂了，呵呵。。支付宝从来没有余额的人怕过谁！

[tonitech]

@ayang23 你这是耽误人家的时间啊。。。哈哈！

[Zkiller]

@teavoid 我还是觉得lz发个神马图，小纠结下。
我还是在疑惑，为啥我那天直接拿手机淘宝充值没有输入支付宝密码和手机验证码。
@ayang23 要不要这么坑？人家在想，我赚你的钱容易吗？我。。。回家洗手不干了。

[tonitech]

@9hills 我去啊！我就在泄漏的那批里！用户名和密码跟支付宝的一样。。。汗死。。。我太轻敌了。。。

[saybye]

@master 这个是很老的洞了，非常渣渣，支付宝必须没有任何安全措施，无安全问题、无支付密码、无绑定手机。 目测不是这个

[loveminds]

@tonitech 7年没改，密码不同

[workaholic]

社会工程学盗取你的密码

[JamieSoung]

小额免密码，但是更换支付设备的时候不是还需要输入密码吗？

[fengliu222]

同学，你有女朋友吗？要不问问她？

[tonitech]

@fengliu222 我去。。。我已经问过了。。。她说她啥都没做。。。

[fengliu222]

@tonitech 我去程序员居然又女朋友，有女朋友也敢来V2混？

[tonitech]

@fengliu222 两地分居干嘛不敢？