• 我爱技术网-河南网站建设-上海网站建设-SEO优化-网络营销-SEO三人行

  • 专注网站建设 服务热线: 13061801310

当前位置:我爱技术网 > 新闻信息 > 正文

支付账户被盗刷的人 99%没有开通苹果手机的这个功能

发布时间:2018-12-16 | 发布者: 东东工作室 | 浏览次数:

  前段时间,多名苹果手机用户反映自己的手机出现了异常支付,具体表现为他们的Apple ID在苹果的App Store产生多笔消费,数额从数百元到上万元不等(参见图1)。问题是,这些消费根本不是用户本人或亲属操作,消费记录显示多为游戏类APP内购(In-App-Purchase),一时间新闻报道不断,事件影响范围扩大,业界称之为 “苹果盗刷门”。

  用户的Apple ID如何被盗?

  很显然,图1这个用户的Apple ID被盗了。虽然目前幕后黑手还没有被锁定,但从作案的集中时间(凌晨)以及影响范围来看,大概率是黑客所为。

  关注了“苏宁财富资讯”公众号的读者,或许已经从我们以往的文章中了解到黑客拖库和撞库的手段,即黑客从其他(非苹果)平台攫取到大量账号信息(拖库),因为总有一部分用户习惯了用同样的账号和密码注册,因此黑客在苹果App Store使用拖库得到的相同账户名(多为邮箱)和密码组合,尝试登录就能成功(撞库)。

  这部分可以登录的Apple ID当中,又有一些开通了支付渠道免密支付功能,如图2所示:

  此协议准许苹果App Store在收到用户(Apple ID)的消费请求时,无需额外验证,即可直接向用户关联的支付账户发起扣款。也就是说,黑客无需知晓受害人的支付账户和密码,就可以随意购买App内的收费项目(例如游戏装备、虚拟货币等), 将受害人App账户内的虚拟商品变卖兑现,实现利益转移。

 

  为何会发生上万元的高额盗刷?

  这是由于苹果和支付APP的免密支付协议中,对扣款额度默认不设上限,这样发生盗刷时会非常危险。目前支付APP已建议广大用户调整上限,毕竟从代扣协议的约束条件来讲,支付机构本身就无法验证最初的消费发起者到底是用户还是黑客,风险控制只能在代扣请求的发起方(苹果)做好。

  很多读者可能会觉得不可思议,为何黑客掌握了他人的Apple ID之后,就可以在任何时间地点登录并在App Store肆意消费,难道苹果完全不做风控么?

  当然不是!本次事件中被盗刷的受害人,其Apple ID并没有开启“双重认证”功能,黑客掌握了他的账号密码,即可在从未登录过其ID的iOS设备上登录并产生消费,甚至很可能在同一台iOS设备上登录多个受害人的Apple ID,这就造成了短时间内大量的盗刷事件发生。

 

  那什么是“双重认证”呢?

  此功能是苹果开发的管控Apple ID登录iOS设备/网页的功能。简单来说就是,苹果会记录用户ID经常登录的设备号,如果此ID想要在陌生设备/网页(IP)登录,必须由用户的常用设备授权。如下图3所示,笔者在陌生电脑(陌生iOS设备同理)上尝试登录苹果Apple ID管理网页时,会被要求输入验证码:

  同时,笔者日常使用的iPhone X屏幕上弹出的提示如下图4:

  如果确定登录行为是安全可信的,点击“允许”后可以展示出一个6位数的验证码,将其输入到正在登录账号的设备的界面上即可成功授权登录,同时您也可以选择“信任”该设备并将其加入Apple ID的可信设备列表中(今后无需再次输入验证码即可在此设备上登录该Apple ID):

  有了这个功能,黑客登录被盗的 Apple ID必然是在一台陌生(非信任)设备上,没有用户的授权他什么也做不了,也就不会发生盗刷或其他泄露信息事件了。

  实际上,苹果的双重认证从防范逻辑上看,和我们常见的各种App登录要求短信验证是一个道理,都是在登录服务器上检查账户与硬件设备的关联性,并给出一个额外的认证步骤,以相对更安全的渠道让用户授权登录。只不过,盗刷门中的用户并未开启双重认证。

  那通常的风控怎么防范盗刷呢?

  智能数据分析是一种趋势。例如,苏宁“极目”账户异常预警系统:通过组合会员的身份信息、行为特征、设备信息、交易信息,建立多维度的层次化体系;基于数据挖掘和随机森林、XGBoot机器学习算法,评估用户的异常风险可能性,保证评分的高准确性。目前,该系统已应用在账号登录和消费环节,可轻松识别被盗账户在异常地点/异常设备的登录行为,以及异常时间发生的异常消费行为,为用户的账户和财产安全保驾护航。

  最后,基于前文的技术分析,笔者梳理了苹果用户防范支付账户被盗刷的正确姿势:

  (1)不在多个账户之间使用相同或者非常近似的密码,可以有效防止黑客撞库。

  (2)签订免密支付协议时,细读文本条款,确认支付发生的条件以及额度限制,或者是否带有自动按期续费(代扣)等附属项;同时检查支付APP(或银行APP)当中的免密支付设置,及时关闭不必要的协议,或者将支付额度降到合理的范围。如下图6所示:

  (3)开启iOS的双重认证功能,路径如下:“设置”-“<你的Apple ID>”-“密码与安全性”-“双重认证”开启:

  (4)如果要将自己的旧iPhone转卖,或淘汰给其他亲朋好友,一定记得恢复出厂设置(会抹掉你的Apple ID和机器的关联),之后任何人在该机上尝试登录你的Apple ID,都会再次触发双重认证。

  (5)如果您的iPhone手机丢失了,而且还没有设置解锁密码或指纹等,那赶快登录一台曾经登录过Apple ID的电脑,在上“查找我的iPhone”,然后启用丢失模式或抹掉数据:

  最后,如果你已经不幸中招,除了按照上面的步骤完成自检,还请尽快拨打苹果客服电话(400-666-8800)向苹果提起退款申请,提供自己被盗刷的记录。据悉,目前已经有用户用这种方式追回了损失。

转载请标注:我爱技术网——支付账户被盗刷的人 99%没有开通苹果手机的这个功能