CopyRight 2012.All Right Reserved 大同市公安局版权所有&&&&您是第&&29610位来访者
技术支持：济南华阳久泰信息技术有限公司Activity劫持来袭，你的支付宝还安全吗？ &#移动安全
作者：惠傲雪
样本概述：
近日，360互联网安全中心截获了一个专门窃取支付宝账户信息的恶意木马家族。它是由主包和子包共同配合，劫持支付宝登录页面窃取用户账户信息；另外，该木马还能够接受短信指令控制，执行窃取短信、联系人、通话记录以及修改指定联系人手机号码等行为。造成用户支付宝账户信息及手机内重要隐私信息泄露、资金财产受到重大威胁。
目前，360手机卫士可以全面查杀。
样本权限信息：
主包的权限声明：
子包的权限声明：
主包的功能主要分为下面两个方面：
1.释放子包，诱导用户点击安装
2.子包安装之后会诱导卸载主包
子包安装后会先激活设备管理器，并且发送报活短信
同时在后台监控判断运行在顶端的activity是不是支付宝登陆页面，如果是，木马会直掉关闭掉支付宝进程，显示木马伪造的“支付宝登录”页面；
伪造页面极具迷惑性。上面左图为真的支付宝登录页面，右图为伪造的支付宝登录页面。
当用户输入“账户”和“登录密码”后，木马通过发送短信的方式将这些信息发送出去。
木马默认状态下会转发所有短信至指定号码。
同时，木马作者还特意对超长短信内容做了处理。
该木马还具有通过接收短信指令来执行多种恶意行为
具体指令的解析：
我们在分析中发现，该木马会针对用户通讯录中一些类似家人昵称的号码进行专门处理上传
双十一即将来临，360互联网安全中心提醒广大用户在进行手机支付时提高警惕，仔细甄别，同时安装360手机卫士保护您的隐私与财产安全。自己的手机登录支付宝就安全？实验表明验证短信会被拦截
用自己的手机登录支付宝就安全？实验：验证短信会被拦截
华商报4月23日见报的《买上万手机号 改支付宝密码 盗23.8万元》，引起大家对第三方网络支付平台安全性的关注。不法分子之所以能通过网络进行盗窃，除了购买了大量手机用户号码和电信网上服务平台登录密码，关键是采用了拦截支付宝短信验证码的方法。
所有第三方支付平台和不少移动端网络应用，在进行用户身份验证时都很依赖手机短信验证码。而只要在规定时间内正确输入短信验证码，甚至可以立即重置重要的登录或支付密码。那么，短信验证码究竟能否当此大任？23日，西安电子科技大学的三位硕士研究生和华商报记者一起做了一个实验。
&&实验验证
恶意程序盗取短信验证码，难吗？
实验时间：日16：00~17：00
实验地点：华商报社二楼
实验人员：西安电子科技大学计算机学院硕士研究生李鑫、王涛、张鹏，华商报记者
实验顾问：西安电子科技大学计算机学院博士、教育部信息安全团队骨干成员杨超、李兴华
为了做这次实验，三位硕士研究生使用了一个特殊的安卓手机软件，这是一个恶意程序，起名&钓鱼攻击&。
实验模拟的情境是，李鑫使用的一部安卓手机已中招，恶意程序一直在后台运行。该软件预先设置的黑客手机号码，是一起做实验的华商报记者的一部手机。
实验开始，李鑫打开手机&支付宝&进行登录。而实际上，他打开的只是一个钓鱼界面。但中毒手机的机主很难注意到，所以输入的账号、登录密码都是真的。
就在李鑫登录&支付宝&的瞬间，华商报记者的手机收到了一条短信，内容就是李鑫所用的支付宝账号和登录密码。如果充当黑客角色的华商报记者，此时立即打开自己手机上真正的支付宝应用，输入短信中的用户名和密码，完全可以登录并使用李鑫的支付宝账户。
如果黑客使用支付宝过程中，需要短信验证码怎么办？这个验证码，支付宝可不会直接发给黑客。
别急，按照程序设计，中毒手机在使用支付宝的过程中，只要收到含有&支付宝&三个字的短信，就会自动把短信内容转发给黑客手机。
为验证这一点，王涛将自己手机中存的支付宝过期短信验证码转发了一条给李鑫。几乎同时，华商报记者的手机就收到了同一条短信。如果这就是黑客需要的验证码，后果可想而知。重置密码、改绑手机，凡是黑客在操作中需要填短信验证码的环节，中毒手机都会自动在需要的时候通过短信转发过来。所以，几分钟甚至几十秒这样的时间限制，并不是问题。
就这么一个小小的程序，不但破解了支付宝账户名和登录密码，而且在操作中凡是需要短信验证码的时候，都会自动发给黑客。让华商报记者看得目瞪口呆。
李鑫说，为研究如何加强安卓系统防木马和钓鱼软件的功能，他们设计了一个新的安卓操作系统。为验证该系统防护性能，才专门制作了这样的&钓鱼攻击&软件。其实这样的钓鱼软件并不罕见，甚至在淘宝上花一二百元就能买到。这类恶意软件通常会和热门软件捆绑，或者伪装成游戏挂件等，用户很难辨别真假。一旦安装并运行了这样的软件，不仅用户在支付宝等第三方支付平台的账户名和密码会被偷偷发给黑客，有些软件还会让用户无法收到支付宝发来的短信。
&&实验总结
仅靠短信验证 无法确保支付安全
西安电子科技大学计算机学院博士、副教授杨超介绍，传统的银行账户实行实名强验证，也就是本人拿着身份证去当面验证，必要时输入验证密码。网络支付方式为突出便利性，降低了验证门槛，一般采取密码验证和短信验证相结合的方式，被称为&双因子验证&。但现在出现了两个问题：一是手机短信验证用过头了，被当做主要验证方式，用它可以去重置登录密码或支付密码，也就是说用短信验证去否决密码验证，这样的设计是不合适的。二是手机短信验证有天然缺陷，在传播过程中可以被截获，实验也说明了这样的问题。所以，短信验证码是不能单独担当主要验证权限大任的。
您可能也感兴趣:
官方微博/微信
每日头条、业界资讯、热点资讯、八卦爆料，全天跟踪微博播报。各种爆料、内幕、花边、资讯一网打尽。百万互联网粉丝互动参与，TechWeb官方微博期待您的关注。
↑扫描二维码
想在手机上看科技资讯和科技八卦吗？想第一时间看独家爆料和深度报道吗？请关注TechWeb官方微信公众帐号：1.用手机扫左侧二维码；2.在添加朋友里，搜索关注TechWeb。
Copyright (C)
All rights reserved. 京ICP证060517号/京ICP备号 京公网安备76号
TechWeb公众号
机情秀公众号有支付宝的人吗？说说今天遇到的安全问题
20:05:28 +08:00用 iPhone 发布 · 9923 次点击
今天登录支付宝，消息中心（就是提示银行退款进度之类的那个地方，首页顶部）多了一条小二客服记录，打电话一问是有人跟客服申请了修改邮箱跟手机但是还没有进行下一步操作（提供身份证照片），赶紧让客服取消了，我感觉这么重要的操作，是应该短信与邮件通知原本的账号，要是我没有登录 PC 版就看不到这个提示了。
而且我的账号开通了数字证书，密码提示问题，手机是不越狱的 iOS 电脑是 Mac OS X 每天都有交易记录的情况下，这种申请不知道客服是如何让其通过的（手机开了登录提示，可以确认对方没有取得登录密码）
71 回复 &| &直到
07:31:52 +08:00
& & 20:16:17 +08:00
先旁观一下
& & 20:22:38 +08:00 via iPhone
数字证书已经被支付宝取消了。那天在别人电脑上付款竟然成功了就惊得我一身冷汗。
& & 20:37:03 +08:00
& & 20:46:51 +08:00
支付宝现在使用六位密码，取消登录手势，数字证书关闭，短信验证等功能，也不知道他的大数据是如何保证安全的，感觉现在支付起来是比以前简便，不过我更希望安全一些。
& & 20:49:38 +08:00
支付宝越来越不安全了，前天看到一条消息，今日XX院校的一个教授用COPY SIM卡，在最新的支付宝上成功消费...
& & 20:50:30 +08:00
反正丢了钱都会全额赔，还再赔100W。
金融机构自身信用的重要性至高无上，人家也不傻。感觉倒是不用过于担心这个……自己保存好个人信息就好
& & 21:37:37 +08:00
支付宝用保险来转移安全风险么？ 被盗或者大规模就让警方介入调查，让保险公司赔偿损失。
感觉像某些银行网银一样，有些安全隐患很明显，但没人敢利用，因为立马会查水表什么的。
& & 21:59:06 +08:00
@ 你被全额赔过，你被赔过100W？去年同事支付宝被骗过钱，打电话给客服，让先去公安立案。然后要上传立案记录，还有笔录，烦得一B。
& & 23:07:29 +08:00 via Android
立案是个麻烦事，还不如提前防范，这是安全的精髓吧。
& & 23:49:16 +08:00
还有一道坎，支付宝没有实名认证的话，传了立案记录还要向支付宝证明“你”（支付宝帐号）就是你（报案者）
& & 00:05:31 +08:00
@ 不用身份证现在能注册支付宝？
& & 00:17:31 +08:00
@ 注册和实名认证是两个步骤吧。
& & 00:29:46 +08:00
照楼上各位所说，那 PayPal 且不是完蛋八百年了？
& & 00:37:00 +08:00 via iPhone
楼上很熟悉行情。
& & 00:38:13 +08:00
@ PayPal Security Key
& & 01:05:37 +08:00
@ 这个新闻的问题是，复制一张3G/4G卡，远比盗取钱财困难。
& & 01:06:01 +08:00
@ 额……
1、历年有些新闻是报道过全额赔付的你可以搜一下。
2、“在支付宝里被骗过钱”如果是你同事自己的行为那跟支付宝一点关系没有。就像电信诈骗你用银行汇款给骗子跟银行也没关系。被骗钱了的话当然要报警，本来就应该报警啊？如果不报警就可以让支付宝自己审查是否赔偿，那申请门槛也太低了，不必要的工作量也太大了。而且警方对这种事更专业，立了案就相当于确有此事，后续发展也有迹可循。
3、如果是支付逻辑漏洞啊安全漏洞啊之类造成的财产损失，那毫无疑问是支付宝的锅。支付宝一定会赔，不赔可走司法程序。怕扯皮。扯皮也可走司法程序，赢了就是100W，输了两败俱伤。
4、还是那句话，信用对于金融机构是至高的，无价的，人家大概比你还怕把钱搞丢。不然你觉得为什么大企业银行分布总部都往寸土寸金的CBD钻。有面子有实力=可靠=信用。
最后，使用一个产品（及其服务）之前，还是看一下服务约定服务协议责权范围如何？
& & 01:08:27 +08:00
话说paypal的确我绑了信用卡之后就只需要输入paypal密码就可以支付（参考steam购买步骤）
他们是怎么保护安全的来着？
& & 01:15:19 +08:00
不用担心的，风控小二会有一条审理记录是正常的，因为他无法判断是否本人报案。而风控小二拉出报案手机号和LBS等基本信息过后，是会判断一下报案者是不是本人，然后再发起额外的对报案者的挑战，如身份证提供或者其他隐私信息提供。 不过真这样丢了钱，也会赔的。
别问这些我怎么知道的。
& & 01:18:47 +08:00
@ page not found
& & 03:10:38 +08:00
9.0.1 手势密码又回来了？
我孤陋寡闻了～
& & 05:29:29 +08:00
我几乎每天都能收到阿里发来的找回密码的验证码短信。
& & 05:45:24 +08:00 via iPhone
@ 应该靠的是信用卡取消交易吧 之前一个同学信用卡被盗刷了700刀然后立马给银行打电话把钱退回来了……
& & 06:38:07 +08:00
@ paypal一点都不安全，只是出事的时候可以帮你追回来而已。
& & 06:40:31 +08:00 via Android
lz这里应该没有阿里的人，我吐槽了半天的淘宝旺旺问题也没人理。。。。。
& & 06:45:43 +08:00 via Android
这不就足够了？
支付宝如果我称丢钱了或被骗了，且与交易记录相符，二话不说就退回该交易的钱，那才叫真的保障。
你的观念还停留在丢钱先报警立案这种老观念上。
& & 07:08:35 +08:00 via Android
实际上，paypal由于主要功能是支付，所以提供追回功能很容易。
支付宝一个很大的功能是转账，这个要做先行赔付是较难的。
既然未通过严格的实名认证会有这种麻烦事，一刀切地降低密码安全度，并大力宣传赔付制度就有点虚了。
支付宝只是准金融机构，不算真正的金融机构，更不是银行金融机构。网商银行才算银行金融机构。
& & 07:32:40 +08:00
用保险转移风险才是正确的道路。
都说国外银行服务好，一有什么盗用之类的就赔付了，那是因为国外的保险机制完善，举一些活生生的例子：
- (前几年)银行卡在 ATM 取款被复制，然后盗刷，打电话给银行，钱立刻退回，因为银行的 ATM 有保险，这笔钱保险公司会赔。(现在芯片卡基本不可能被瞬时复制盗用了)
- 信用卡被盗用，打电话给银行，钱立刻退回，寄来一个表格，申明这笔钱不是自己消费，签字寄回事情就算处理结束了，因为有保险，这笔钱保险公司会赔。
再扩散一些：
- 超市或者仓库，整托盘的酸奶，打翻了就翻了，反正有意外险，填个表格，保险公司会赔。
- 商店东西丢了不用去追小偷，没那个必要，因为商店有偷盗险，填个表格，保险公司会赔。
支付宝正在引导大家走向正确的道路。因为支付宝是免费产品，所以一年过后，一份保险要你0.88元我觉得不算贵。如果是银行卡，这些保险成本当然应该已经算在年费里面了。技术应该是给生活带来便捷，而不是带来繁琐。如果说我们通过一道道的所谓技术手段来提高安全性，倒不如去关注促进相关保险行业的发展。如果我们和支付宝一起，能够督促支付宝的这个保险能够真正做到他所宣传的那样，赔付靠谱而且方便，那么你是愿意付这8毛8分钱呢，还是每天24小时不停的担心：
- 手机丢了怎么办啊
- 密码泄露了怎么办啊
- 手势被破解了怎么办啊
- 指纹会不会不安全啊
- 系统和 App 的安全性靠不靠谱啊
。。。累不累啊？
现在大家与其说是对支付宝不信任，倒不如说是这么多年，被银行和保险公司搞怕了，一出事情就翻脸不认人，就想把责任全部归罪于客户。所以，还是希望这个保险能够靠谱吧，这样的话，你会发觉，简单而互相信任的世界多么美好。
还是回到自己经历的事情，坐标德国，自己的信用卡还有朋友的，遇到盗刷打电话去银行，从没有一次有人质问：你是不是把密码给别人啦？你是不是把安全码告诉别人啦？你是不是电脑中毒啦？从来都是这样的流程：
您好。。。卡被盗用？。。。哪一笔交易？。。。那我们顺便把前后几笔交易也核对一下看看是不是有异常？。。。OK，这几笔异常交易我们已经记录了，相应的金额已经返还到您的卡里了。之后会有一个表格寄给您，麻烦您签字寄回给我们。另外，您的卡信息可能已经泄露，这可能有很多原因，所以我们现在会冻结您的这张卡，一张新卡会尽快寄给您。给您带来的不便还请多多谅解。
保险真好！
& & 07:47:05 +08:00
@ 保险虽好，不该终端用户付。
& & 08:08:45 +08:00
@ 支付宝用户数得有10亿了吧，这可就是10亿人民币啊，你让支付宝每年把这钱就这么送出去，肯定不乐意。我倒是觉得一年之后，可以根据账户活跃度来免除。比如转账不算，淘宝消费不算，线下消费和缴水电费都算，余额宝收益也算，年度消费额达到1000元，送保险一年。
& & 08:20:18 +08:00
前段时间的文案你没看过么，阿里用大数据进行识别，比如你上午十点在北京，十点十分就到上海去付款了，这样阿里会提示你验证。我说说我遇到的事情吧，双十一的时候，我QQ被盗，给朋友们发代付请求。一个女生二话不说同意代付，结果支付宝立即提示她实名验证，她双十一一分钱也没花成，当然我也一分钱没有损失==
& & 08:37:28 +08:00
有人认为所谓的安全应该是把一个保险箱用各种各样的锁同时锁上。更关键的是，这个保险箱应该从来不允许被偷。。。
& & 08:42:59 +08:00 via Android
@ 现在支持敏感操作时验证九宫格的锁
& & 09:57:39 +08:00 via Android
@ 银行可不收这个钱。PayPal也不收。
本来保障资金安全就是银行、支付机构的义务，你卖个保险把责任推卸了算啥？
& & 11:24:31 +08:00
@ 昨儿在朋友圈看到吴鲁加转了一个学生支付宝被盗44700元的微博，结果这个事情闹的有点大，支付宝才出面派专人跟进理赔的事情，原博已删，这里是百度快照的链接http://cache.baiducontent.com/c?m=9d78d513d9c556ae28eb917c0f01dfa4cbf4cab40cd9aea09ab89f3ad7ace25b38fedf4ea4ebceaad83fcd6df4213541bbf&p=8b2aec312bd9b7a15&newp=882a911c85cc43fd18b2f4f08d30e3fdd89&user=baidu&fm=sc&query=44700%D4%AA%B1%BB%B5%C1%2C%CB%AD%C0%B4%B8%BA%D4%F0&qid=df96fbc&p1=4
& & 11:39:22 +08:00
不得不说，没有支付宝，根本都不知道用什么才好。
& & 12:12:14 +08:00
钱还是放招行安全，专业版里面设置，每日转账限额1000元，全部快捷支付、银联在线支付都关闭掉， 大额转账只能用优KEY登陆专业版来弄。
& & 12:45:09 +08:00
@ 那人的身份证信息、支付宝账号、密码、支付密码，全被泄露了？
& & 12:50:39 +08:00
这位就说的太正确了——“这个保险箱应该从来不允许被偷”
保险箱放在支付宝那里，email一个门、手机一个门、淘宝一个门，还不知道有没有黑客的暗门……
阿里必须考虑“这个保险箱应该从来不允许被偷”，一个门进去就能进去扳动安全机关问题很大
可以从不同的门进入港口仓库区，但想进危险品仓库必须二次检查
“不用怕，仓库爆炸了我们可以赔”，那就只能呵呵了
说得非常好，支付宝能做到账户人不承认某笔消费立即退款我将瞬时改变立场
看支付宝帮助
1.极速补偿是2000以下，保险是不限次累计100W（吐嘈一下：这个数额正规文档写中文好吧），保险范围不详，估计要看保单或者到保险公司查（给个保险公司链接行不，连公司名字都没）
2.“经调查被盗为用户本人操作，或是用户的配偶、亲属、朋友或所雇人、代理人所为的。”
即使本人不承认该笔交易也不行
3.“因用户原因（包括但不限于主动告知他人、被诈骗、被钓鱼等）导致支付宝账户密码、支付宝账户登录及支付密码、校验码泄露的。”
即使本人不承认该笔交易也不行
支付宝帮助写了手机丢失可赔，却没写手机没丢时，钱丢了是否在赔付范围内
查新闻赔付先例？我在各个讨论区见到的却是另一番景象，知乎、豆瓣……各种“自认倒霉”
“洗宝”现在还好使不？
还有一个疑问，投保的那家公司我一点都不了解，信誉、口碑……啥名字都没记起来，支付宝帮助里面啥公司都没提
未决定是否购买怎么看保单样本？保险产品的说明在哪？风险告知？
To ALL:
保险和保护是两回事，不能说有消防队就不需要防火
保护是各方面共同努力的，各自做好自己应该做的本分
不论自己本分有没有做好，但对于另一方可以做的本分却不让他做，很奇怪
& & 13:05:53 +08:00
@ 嗯。感觉有些匪夷所思。
& & 14:14:35 +08:00
@ 中国保险业就是笑话，价格贵，服务差，免责条款一大把，理赔扯皮能把你跑断腿，卖的时候是孙子，赔的时候是老子。还保险真好来呢，只能呵呵。
& & 14:20:05 +08:00
「学生支付宝被盗44700元」...全文昨天早上看过，那时还是说 支付宝,警方,银行,保险公司 之间互相推脱踢皮球，保险公司也压根不想赔的态度。
& & 14:26:32 +08:00
@ Paypal 把风控转给了银行
& & 14:33:56 +08:00
@ 常用密码被社工了吧，赶紧改了
& & 14:35:05 +08:00
关于赔付的，前女友被快捷支付转走过5W，未越狱iPhone，自己电脑上都没装证书，因为手机比电脑付款要快。
至今没有查到原因，支付宝方面确实是赔付了，但是这种赔付的代价就是以后她再也不能享受快捷支付的赔付服务了。
& & 14:51:59 +08:00
@ 自己被盗用身份证办了银行卡，不怪银行审核问题，不怪警察叔叔不作为，不说明自己的账号登陆密码支付密码为何全部被泄漏，死命找支付宝的茬...逻辑呢。
换个角度来看，串通一个人，冒用自己办卡，然后把密码都告诉他让他把钱转走（异常登录的短信、验证码都可以当面告诉他，不留痕迹），然后转头要支付宝赔钱。你说支付宝陪不陪？
规矩就是规矩，这个赔付规矩黑产不知道研究多久了，每个人都说自己可怜，可怜就该赔他？
& & 15:01:20 +08:00 via iPhone
@ 貌似网上的案例支付宝赔付的附加条件都是仅此一次？
& & 15:49:01 +08:00 via iPhone
和paypal比支付宝安全高太多
& & 17:00:33 +08:00 via Android
@ 转给了商家
& & 17:18:34 +08:00
“自己被盗用身份证办了银行卡，不怪银行审核问题，不怪警察叔叔不作为，不说明自己的账号登陆密码支付密码为何全部被泄漏，死命找支付宝的茬...逻辑呢。”
讨论总是围绕一个讨论点进行的，开一个帖标题是支付宝相关，却批判银行、警察、自己？
正如我前面所说，“各自做好本分”，现在讨论的不是银行的本分、警察的本分、也不是自己的本分这几部分，而是支付宝
“换个角度来看，串通一个人，冒用自己办卡，然后把密码都告诉他让他把钱转走（异常登录的短信、验证码都可以当面告诉他，不留痕迹），然后转头要支付宝赔钱。你说支付宝陪不陪？”
这是有罪推论，正确的逻辑是无罪推论，先赔付，如果是上面所说“串通”的情况，那这个人就是犯罪了，自然有法律制裁，为何支付宝自己先转换自己的身份做法官去判断呢？
“规矩就是规矩，这个赔付规矩黑产不知道研究多久了，每个人都说自己可怜，可怜就该赔他？”
不赔活该？
这样说不好，有点“非白即黑”的意味，换个说法，赔不赔跟说没说自己可怜有什么关系呢？
& & 17:38:28 +08:00
踢皮球是天朝特色，只有暴露在阳光下让民众监督才能真正的公平公正，政府机构如此，支付宝亦是。
另外关注了一下对方的微博，似乎有支付宝与她联系，单元结局会好点吧。
虽然不是法律人士，对于各方的责任，我想这个帖子某些人说的很在理了：
希望支付宝的IM梦别以安全为代价就行了，能力越大，责任越大。
& & 17:42:49 +08:00
万能的0.88
& & 17:44:22 +08:00
@ 「自己被盗用身份证办了银行卡，不怪银行审核问题，不怪警察叔叔不作为，不说明自己的账号登陆密码支付密码为何全部被泄漏，死命找支付宝的茬...逻辑呢。 」
不是这样吧，原文里　所有涉及的部门和企业单位他都找过茬。
另外，根据原文描述，也不是“盗用身份证”，而是嫌犯伪造了一张身份证。
& & 17:48:37 +08:00
是啊，即便可户去串通别人去骗银行/支付平台，也只能说面商家本身在此环节流程设计上有安全缺陷。
不能因为假定客户都是潜在罪犯而拒赔。
先赔付，之后在查明过程，假若查明客户是元凶，那就去追元凶的责任。
& & 17:56:47 +08:00
取消了数字证书多好啊。
我一直觉得这个数据证书就是反人类的 。
而且还是安装一大堆支付宝的软件才能安装这个证书 。
& & 19:11:57 +08:00
手机：不设锁屏的、sim卡不上锁的、用2G卡的
电脑：没有硬盘密码/全盘加密的
请不要谈安全
& & 19:47:20 +08:00
社会信息体系和保障体系没有建立，才会出现支付宝这种畸形产物，别跟我说paypal，paypal和支付宝有本质区别。
而且我真的不好意思说，我在海外，开个手机银行，用ATM机器都可以自助开通，银行柜台哪怕现金柜台也都是开放式柜台，都是没有防弹玻璃隔断。
是我们的社会风气把大家弄的各种麻烦和草木皆惊，在天朝，我只能说，活着真累。
不管流程多安全、多牛逼、多少种安全验证，麻烦的永远是人，复杂的也永远是人。
& & 20:57:15 +08:00
@ Paypal 的每笔业务都收取很高的手续费，而银行卡也有年费，刷卡消费等银行也能获取手续费。所以这不能简单的和支付宝相比较。我上面也说了，支付宝可以给出指定方式消费满多少额度免费送保险的方案，这样就筛除了那些只是把支付宝当收钱转账工具的账户。
Paypal 和银行卡正因为每个账户都根据账户金额及进出有同比例的收入。所以可以和保险公司达成打包方案。而支付宝，虽然可能有10亿账户，但活跃账户可能只有3亿不到，而能获得收益的就更少了（1亿？），如果支付宝要求根据活跃度来保险，那么谁来判断活跃度？支付宝说我给你1亿元打包，保险公司说，不行，你有10亿账户，我要8亿元，这样谈判下去，到最终达成协议的时间和各方面成本都太高了。倒不如把保险的权利转移到用户。你愿意保就保，你不愿意就不保。
你能明白我说的这个羊毛处在羊身上的最简单的道理么？如果支付宝也像 Paypal 一样，一笔帐收你1%的手续费，免费送保险就送呗，只要你开心就好。
& & 21:17:51 +08:00
@ 不知道前段时间闹得沸沸扬扬的弱势群体工商银行让用户丢失千万的新闻现在结果怎样了？银行是最不要脸的
@ 国内银行都是弱势群体，你不能常理考虑的。
& & 21:20:25 +08:00 via iPad
@ 银行有年费，paypal的手续费高得吓人
& & 14:18:46 +08:00
@ 好吧，你不说我都不知道。。。过得太糊涂了。
& & 14:24:52 +08:00
@ 可能你没明白我的意思（感受），手续费，保险费怎么样都好。可是现在支付宝说：不买保险就不赔啦；我想：神马，原来赔付居然不是标配！
& & 15:45:08 +08:00 via iPhone
@ 不买保险也有赔付。但是是有不同的。
不买保险，支付宝只会陪因为支付宝过错导致的损失，就是说你把手机丢了的损失是不赔的。银行也没说银行卡丢了被盗刷给你赔钱吧。你是不是感慨下，银行卡赔付竟然不是标配？
买了保险，是会赔部分用户过错导致的损失。银行也有相应的保险，不过都是另花钱买的
支付宝和银行比，支付宝在赔付问题上完胜银行。
& & 22:17:29 +08:00 via Android
@ 好吧，看来对没关注的问题不应该妄加议论。你说的这些我完全都不知道。。。（嗯，至少说明我还没遇到过需要赔偿的问题，运气不错。）
& & 06:52:14 +08:00
@ 啧，我是不管老观念新观念，我就是说一下我所认为的“先立案再审查赔付”的合理性。你自己不好好看，而忽略我阐述的“合理性”这个重点。
同理于“金融机构”：需要提醒你支付宝内紧密结合蚂蚁金融系列产品，相当于是金融机构的窗口、柜台。不过，也许它真不是金融机构，也许它是，但我的重点在于“想玩儿大笔钱的就是需要自身信用”而不是跟你在这里讨论支付宝到底是不是金融机构这种无聊透顶的细枝末节。我想让您领会的不过是“如果放钱/交易的地方让人感到不放心、不安全，谁会去用它”这么通俗的一句话。您永远抓不住重点，断章取义地拉出只言片语就开始吹毛求疵自以为是。
@ 我觉得明辨是非的人都能看出问题出在“银行 允许他人 用假冒的身份证和相关证明办理了受害者名下的银行卡”，从而导致了支付宝“提现至本人银行卡”等防盗规则失效 。支付宝的服务范围确实包括“支付宝被他人盗用导致的资金损失”，但是银行卡是他本人的卡（尽管不是他自己办的），这张卡也确实在他名下，所以被支付宝视为“个人名下的资产转移”，并未直接转去他人账户，也就不是财产损失，提现完成后
资产离开支付宝
因而支付宝不再承担相关责任。也就是银行办卡这关把控疏漏才导致的事情发生。我只能说邮政储蓄太垃圾，没了。希望您能好好思考是谁的锅，而不是看到新闻就怎么怎么，那您也太容易被新闻洗脑了。
同时楼上也有站在支付宝角度的相应阐述，可参考。
以及我在本楼中我回的第一帖就说了要保管好个人信息，要不是自己有意无意泄露，这种冒名银行卡也不好办下来吧。45000块正好盯上他。呵呵。
@ 你说的对。包括几年来一直都有的长期定存少发利息之类的新闻，只能说是店大欺客。金融机构的信用确实重要，但是一个小储户，加几个媒体报导，500强前列的银行想压就压下来了。这个确实没办法。除非储户特别牛逼什么的…… （苦笑
& & 06:59:28 +08:00
@ 顺带对您“你的观念还停留在丢钱先报警立案这种老观念上。”只盖莫名其妙的帽子而不多加阐述的非讨论行为表示深刻的鄙视，这样的话语在好点的贴吧、知乎、V2都不受待见。请尽量让自己的回复能够对别人有帮助。
网商银行才算金融机构这个槽我也是不知道怎么吐了。你百度百科下也好啊。当然，如上所说，也许严格来说，支付宝作为第三方交易平台不是，宽泛来说，支付宝作为网络金融机构的窗口就是；不过不管怎么说，这依然不是重点。
& & 08:51:34 +08:00 via Android
你去补习一下现在支付行业和金融行业的基本知识再来，否则你这种回复根本不受待见，纯属浪费他人精力。
现在通过加强的风控，能把总体的损失期望控制在合理的范围内，哪怕有少数的恶意索赔也不影响总体。而恶意索赔也能通过后期追索或以后的限制（例如上面说的不能再用快捷支付）来控制今后的风险。因此在提供各种乱七八糟的证明前先行赔付也是合理的。
支付宝就是个窗口仅此而已，这都硬要算金融行业也是醉了。蚂蚁是蚂蚁，蚂蚁是金融行业，支付宝还来借光了？好好补习一下银、证、保等金融行业的内部控制和外部监管去。
& & 10:07:58 +08:00
@ 这个事情邮储银行要负很大的责任，但是原文说“别人的设备登陆我的支付宝账号，需要我本人手机提供验证码才能登陆，为什么在我不可能提供验证码的情况下，别人能够用别的设备登陆？支付宝说会调查，然后让我先去把这张邮政储蓄银行卡调查清楚。”
支付宝真的就没有责任赔付吗？你解释了支付宝方面的“个人名下的资产转移”，不是刚好帮助支付宝踢皮球了嘛。
& & 10:08:31 +08:00
程序员节点下跟程序毫无关系的帖子之一～。
& & 18:53:23 +08:00
@ 随便——~吧。我也确实说了支付宝严格来说是个窗口， [但对大众来说，反正是放钱用钱的地方——是不是“金融机构”那都，一，样。] 您就接着跟我抠概念吧，我还说柜台、窗口是银行的一部分呢。不再继续和您讨论了，该说的，我都说完且说到位了。您认识不到的，大概是就认识不到了。
看您第二段该去当支付宝的产品经理。
顺带一提我本科学的就是经济。
@ 我楼上说的确实是因为我个人觉得就该银行全额赔付嘛，毕竟是直接责任。听您这么一说，支付宝的责任有，但是仅针对这个“钱财入卡后被转移”的事，实在是责任有限啊。赔付不赔付就很危险了，不过也算是符合“支付宝账户被他人盗用而导致的 [间接] 资金损失”这一条。。支付宝让失主先怼银行去，也是可以理解的。毕竟银行连卡都给非本人办了，这大锅甩不掉的。主要责任方都赖着，支付宝也没理由先认怂是吧。我是这么觉得的。大家不能因为银行不好说话就让支付宝先赔啊什么的啊。
& & 07:31:52 +08:00 via Android
@ 经济学唬谁哪，我本科研究生都经济学，呵呵。
你死抱自己观念不放我也没法。
& · & 2835 人在线 & 最高记录 3541 & · &
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.1 · 24ms · UTC 07:59 · PVG 15:59 · LAX 00:59 · JFK 03:59? Do have faith in what you're doing.