支付寶曝重大安全漏洞：熟人可 100% 登陸賬戶！手把手教你關閉小額免密支付保護資金安全
近期，網友曝光支付寶「忘記密碼」流程存在嚴重邏輯漏洞：陌生人有 1/5 概率、熟人甚至 100% 概率可繞過驗證直接登陸他人賬戶。一旦登陸成功，若受害者開啟了「小額免密支付」或「當面掃碼付」，攻擊者可在無需輸入密碼的情況下輕鬆轉移資金。支付寶官方已確認並緊急下線相關驗證選項，但為了資金安全，建議所有用戶立即關閉免密支付功能。
漏洞原理還原
- 打開支付寶登錄頁，輸入受害者賬號 → 點擊「忘記密碼」
- 選擇「手機不在身邊」 → 進入「淘寶購買記憶驗證」（9 張圖選 1）
- 再進入「好友驗證」（9 個好友頭像選 1）
- 熟人知曉受害者淘寶購物記錄且社交圈重疊 → 兩關輕松通過 → 重置密碼登陸
實測表明：同事、親友幾分鐘即可登陸對方賬戶。漏洞核心在於知識型驗證因子（KBA）強度不足，且缺乏設備指紋、行為分析等二次風控。
緊急防護：關閉小額免密支付 & 當面掃碼付（圖文步驟）
路徑：支付寶 APP → 我的 → 右上角設置 → 支付設置 → 免密支付/自動扣款 → 關閉相關服務
- 打開支付寶，點擊右下角 「我的」
- 點擊右上角 齒輪圖標（設置）
- 選擇 「支付設置」
- 進入 「免密支付/自動扣款」，依次關閉 「小額免密支付」 與 「當面掃碼付」
額外安全建議
- 開啟「賬戶安全險」，盜刷可獲賠付
- 設置高強度支付密碼，勿與其他平台通用
- 定期檢查「授權管理」，撤銷不常用應用授權
- 開啟「登錄設備管理」，清理舊設備信任狀態
- 遇到可疑登錄立即凍結賬戶（撥打 95188）
官方回應
支付寶回應稱：已第一時間下線有風險的驗證選項，安全團隊正全面排查修復，並將持續加強賬戶體系風控模型。用戶資金安全有保障，盜刷可全額賠付。
安全無小事，花 1 分鐘關閉免密，守住錢包防線！ 請轉發提醒家人朋友。
