手機(jī)綁定功能存隱患 遺失或致連環(huán)信息泄露

遺失手機(jī)后，不少人煩惱的，也許只是失去了一部通話工具和里面的通訊錄，鮮有人想到，你隨之失去的，很可能還有當(dāng)當(dāng)、人人、微博、網(wǎng)易郵箱、支付寶、財(cái)付通……等等一系列網(wǎng)站的賬號(hào)和密碼。7月27日，本報(bào)曾報(bào)道以手機(jī)號(hào)碼注冊(cè)的財(cái)付通、支付寶賬戶，可以通過(guò)手機(jī)輕易修改密碼。本周《IT時(shí)報(bào)》記者繼續(xù)跟蹤調(diào)查發(fā)現(xiàn)，除了第三方支付，還有不少網(wǎng)站賬戶都提供手機(jī)綁定功能，且對(duì)找回、修改密碼并沒(méi)設(shè)置太多門檻，一旦用戶遺失手機(jī)，便很可能因此泄露信息。

微博、人人：編輯短信就可重置密碼

時(shí)下熱門的微博、社交網(wǎng)站、郵箱包含著諸多個(gè)人信息，手機(jī)號(hào)碼能打開(kāi)它們的大門嗎？

在微博登錄頁(yè)面中，輸入手機(jī)號(hào)碼，并點(diǎn)擊“忘記密碼”，根據(jù)提示操作后，手機(jī)上便收到一條驗(yàn)證碼，只要在網(wǎng)頁(yè)上輸入驗(yàn)證碼就可以重新設(shè)置密碼。騰訊微博也是如此，只需用“密保手機(jī)”發(fā)送新的密碼到指定的號(hào)碼，便會(huì)收到一條密碼修改完成的短信，而密保手機(jī)往往就是登錄用的手機(jī)號(hào)碼。

在一些社交網(wǎng)站，找回密碼的過(guò)程也頗為相似。如人人網(wǎng)，同樣只需用“密保手機(jī)”編輯指定的短信發(fā)送到指定的地址就可以了。

一些電子郵箱同樣也存在風(fēng)險(xiǎn)。比如網(wǎng)易的126郵箱，如果和手機(jī)號(hào)碼綁定過(guò)，既可用戶名登錄，也可直接用手機(jī)號(hào)碼登錄，同樣選擇“忘記密碼”，網(wǎng)易會(huì)向手機(jī)發(fā)送驗(yàn)證碼進(jìn)行密碼重置，然后便可以任意修改密碼了，而密碼更改后，手機(jī)并不會(huì)收到任何提示信息。

網(wǎng)易客服表示，手機(jī)號(hào)碼的確是能解開(kāi)郵箱的密碼，他建議用戶最好設(shè)置多重密保，例如密保郵箱、密?？ǖ?，來(lái)加強(qiáng)密碼保護(hù)。

當(dāng)當(dāng)網(wǎng)：客服透露用戶信息

《IT時(shí)報(bào)》記者在各個(gè)網(wǎng)站逐一嘗試的過(guò)程中發(fā)現(xiàn)，雖然有的賬戶信息僅通過(guò)自己操作并不能解決問(wèn)題，而要尋求客服的幫助，但很多客服對(duì)用戶信息的審核也只是走過(guò)場(chǎng)。

在當(dāng)當(dāng)網(wǎng)上，如果忘記密碼，需要輸入注冊(cè)時(shí)的EMAIL地址。記者致電當(dāng)當(dāng)網(wǎng)客服，表示已經(jīng)忘記了登錄時(shí)的郵箱。該客服詢問(wèn)了記者綁定的手機(jī)號(hào)碼和姓氏后，就直接告訴了記者EMAIL郵箱，甚至把記者在注冊(cè)當(dāng)當(dāng)時(shí)填的地址也一并報(bào)了出來(lái)。知道郵箱后，點(diǎn)擊“忘記密碼”，當(dāng)當(dāng)會(huì)向該郵箱發(fā)送密碼重置的郵件，通過(guò)郵件，可以重新設(shè)置密碼。而根據(jù)前文所言，如果用戶郵箱恰巧是126等可以用手機(jī)解開(kāi)的郵箱，當(dāng)當(dāng)賬戶丟失的風(fēng)險(xiǎn)依然存在。

QQ、MSN：手機(jī)號(hào)碼不能破解信息

難道所有與手機(jī)綁定的網(wǎng)站都存在如此風(fēng)險(xiǎn)嗎？

QQ作為最常用的聊天工具，也有不少用戶把QQ號(hào)碼和手機(jī)綁定，QQ號(hào)被盜走的可能性有多大？記者進(jìn)行了嘗試。在QQ安全中心的網(wǎng)頁(yè)里，記者根據(jù)提示輸入了綁定的手機(jī)號(hào)碼和頁(yè)面上的驗(yàn)證碼，通過(guò)密保手機(jī)發(fā)送短信同樣可以找回密碼，但在最終提示信息中，QQ號(hào)碼只顯示了首末位數(shù)字。也就是說(shuō)，即使有人拿到你的手機(jī)，修改了密碼，卻仍然會(huì)因?yàn)椴恢繯Q號(hào)碼而無(wú)法登錄。QQ客服向記者證實(shí)，僅憑手機(jī)號(hào)碼的確找不到到QQ號(hào)碼，想要找到號(hào)碼，必須通過(guò)申訴，提供該QQ的一些使用信息等。

記者用同樣的方法試著找回MSN的用戶名和密碼，也沒(méi)有成功。

當(dāng)然，也有與手機(jī)號(hào)碼完全無(wú)關(guān)的網(wǎng)站，比如雅虎郵箱，只能通過(guò)回答密保問(wèn)題，或發(fā)郵件到關(guān)聯(lián)郵箱進(jìn)行密碼重設(shè)，和手機(jī)號(hào)碼無(wú)關(guān)。

專家說(shuō)法

企業(yè)應(yīng)盡量杜絕管理漏洞

上海信息安全行業(yè)協(xié)會(huì)秘書長(zhǎng)王強(qiáng)告訴記者，不少網(wǎng)站在安全技術(shù)手段方面還是比較注重的，但考慮到用戶對(duì)方便的需求，往往會(huì)在快捷和方便之間做一些取舍。“這是不少企業(yè)一直碰到的難題，太復(fù)雜，沒(méi)有用戶愿意使用，而不安全，則會(huì)帶來(lái)很多后續(xù)的問(wèn)題?！?/p>

支付寶相關(guān)工作人員則向記者表示，支付寶開(kāi)發(fā)產(chǎn)品的原則，是在安全的基礎(chǔ)上盡量便捷，目前一些用戶碰到的安全問(wèn)題，可能是因?yàn)橛脩糇约旱氖褂昧?xí)慣而造成，所謂的“漏洞”也要針對(duì)實(shí)際的案例才能知道究竟是什么原因。

但王強(qiáng)認(rèn)為，企業(yè)除了加強(qiáng)技術(shù)保障以及用戶自己要重視自我保護(hù)外，在管理上應(yīng)該有不少工作可以做，“人工服務(wù)理應(yīng)對(duì)用戶進(jìn)行最基本審核。但像當(dāng)當(dāng)網(wǎng)的客服，僅報(bào)出一個(gè)手機(jī)號(hào)碼就告訴了用戶想要詢問(wèn)的信息，甚至連沒(méi)詢問(wèn)的信息也透露了，這就是管理漏洞，是不應(yīng)該出現(xiàn)的?！?/p>

記者手記

安全模式?jīng)]有快捷鍵

快捷，我所欲也，安全，亦我所欲也。

如今不少賬戶都“聯(lián)姻”了，用多種方式都能登錄，比如微博，可以用郵箱、手機(jī)號(hào)、MSN等登錄，因此，只要一個(gè)信息泄露，或許會(huì)牽扯到多個(gè)賬戶的安危。這就像一個(gè)連環(huán)套，一旦其中一環(huán)出現(xiàn)問(wèn)題，會(huì)波及其它。在方便的同時(shí)，這樣的聯(lián)姻帶來(lái)了更多的擔(dān)憂和風(fēng)險(xiǎn)，甚至還可能帶來(lái)財(cái)產(chǎn)損失。

其實(shí)，對(duì)于用戶來(lái)說(shuō)，安全與便捷的選擇題從來(lái)很好做，一定是安全最重要，尤其是一些與經(jīng)濟(jì)利益相關(guān)的賬戶。而企業(yè)往往為了爭(zhēng)奪用戶，盡量縮短用戶在注冊(cè)時(shí)的“猶豫期”，而提供越來(lái)越便捷的方式，這樣，它可以向投資人說(shuō)：我的用戶數(shù)是千萬(wàn)級(jí)、甚至億級(jí)的。當(dāng)然，這沒(méi)有錯(cuò)，但最好問(wèn)問(wèn)自己，有沒(méi)有在尋找更快捷方式的同時(shí)，花費(fèi)更多的精力在確保安全上？

驗(yàn)證的時(shí)候，多填一個(gè)郵箱地址，用戶多不了幾秒鐘時(shí)間；客服審核的時(shí)候，多回答一個(gè)問(wèn)題，會(huì)讓用戶覺(jué)得更安心。為了安全，這些付出還是值得的，不用任何快捷鍵。

來(lái)源：IT時(shí)報(bào)

　　版權(quán)及免責(zé)聲明：凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時(shí)須獲得授權(quán)并注明來(lái)源“中國(guó)產(chǎn)業(yè)經(jīng)濟(jì)信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章，不代表本網(wǎng)觀點(diǎn)和立場(chǎng)。版權(quán)事宜請(qǐng)聯(lián)系：010-65363056。

延伸閱讀