■ 文 | Oneway

有网友爆料称支付宝存在新的安全漏洞——陌生人有1/81的机会修改你的支付宝密码，而熟人有百分之百的机会修改你的支付宝密码。全部过程仅需5步，“登录手机帐号-忘记密码-手机不在身边-买过东西九选一-好友验证九选一”。

1.打开支付宝登录界面，输入帐号后点击忘记密码

2.输入帐号后直接点无法接收短信

3.这里有很多验证方式，选择你所知道的方式，熟人验证，你知道的朋友信息

4.更改密码，原密码直接忘记，直接更改

修改完直接登入账户，拥有全部功能，且支持免密支付。

网友炸锅了，神评论不断：

阿里内部员工爆料，这个问题十几天前就在内网反馈过了，后来支付宝的人解释了一下情况没大家想的那么糟，据说是有环境判断的，支付宝同学要求不要说具体安全策略，这段删掉，总之是有环境判断的，另外还有支付密码，所以即使盗了最多刷走点小额，以及搞个朋友圈行骗之类的。

资深网络安全研究人员，前阿里员工云舒(网名)认为，“支付宝这个，确实有问题，不过上午已经修复了。而且类似的事情，以前就出现过，我还在阿里的时候就跟一个叫jason的VP吵过架，我说是漏洞他们team说不是，有邮件为证——当然我现在看不到阿里的邮件了。”

并且云舒坚信，类似的风控问题还会继续出。首先因为对安全的理念，安全人员看案例，支付宝业务人员看概率。其次，技术发展方向，支付宝为了使用方便，太信任机器学习模型，太信任基于风控的控制，而忽视了传统技术层面的强控制。

对此，支付宝方官方回应称，已经接到网友反映，称可以通过识别好友、识别近期购买物品，来找回支付宝登录密码。但这一方式仅在特定情况下才会实现。通常情况下，用户找回登录密码至少需要输入手机短信验证码。对于部分暂时无法收到短信的用户或者更换移动设备的用户，我们的风控系统会先进行评估(比如账户信息完整程度、网络环境等因素)。在安全系数较高的情况下，才让用户回答一系列安全问题，只有在回答正确后，才能修改登录密码。

支付宝方面表示，这一策略只能找回登录密码，仅通过回答安全问题并无法找回支付密码。且一旦用户支付宝在其他设备被登录，本人设备会收到通知提醒。

支付宝方面强调，为了更好提升用户的安全感，在接到网友反映后，已于今日上午进一步提高了风控系统的安全等级。目前仅在用户自己的手机上，才能通过识别近期购买商品以及识别本人好友来找回登录密码，通过其他手机设备是无法应用这一方式找回登录密码的。

互联网商业模式分析师郝智伟认为，支付宝的安全产品经理确实在此方面还是有些经验上的欠缺，可以说手机应用安全最重要的就是保证机主是本人。即设备识别码的安全级别是在前面的，不能用别人的手机突然之间登录自己的账户，不然很容易出问题，但之前有些设定的优先值没有做好，所以才会出现漏洞。