支付宝封堵安全漏洞非个人原因盗刷会赔付.DG

支付宝封堵安全漏洞 非个人原因盗刷会赔付

支付宝努力封堵安全性漏洞，是因最近上热议，支付宝账号的登录密码可被“熟人”攻破。现在，支付宝已经提高了这方面的安全等级。

最近两天，支付宝的账户安全问题成为热门话题，有用户发现，如果刻意了解熟人的购买行为和社交关系，就可能攻破对方的支付宝账号，获得重置登录密码的权限。再加上部分支付宝用户开启了小额免密支付功能，这意味着一旦登录密码被攻破，“盗刷”不可避免。

对此，支付宝公关部门向财新表示，已经接到用户反映，称可以通过识别好友、识别近期购买物品，来找回支付宝登录密码。但是这仅在特定情况下才会实现。

其实最重要的还是一个坚持什么是特定情况？支付宝方面给出的解释是，通常用户找回登陆密码至少需要输入短信验证码。但是对于部分暂时无法收到短信的用户或者更换移动设备的用户，（支付宝）的风控系统会先进行评估，包括账户信息完整程度和络环境，在安全系数较高情况下，才让用户回答一系列安全问题，回答正确时，才能修改登录密码。

目前看，安全问题未必万无一失。假如有关安全问题询问用户曾经购买过的商品、支付宝好友等，对此，不排除熟人也能正确回答过关，这就意味着支付宝账号的登录密码可以被更改。

当然，即使获取支付宝登录密码，也并非意味着可自由支付，毕竟还有“支付密码”（六位数字）作为支付完成的最后步骤。但是财新注意到，支付宝软件在“支付设置”里提供了“免密支付”的设置选项，如果用户开启了了免密支付中的“小额免密支付”，为一些第三方需要支付的应用程序授权，那么获取了支付宝登录密码后，就可以完成小额免密支付。

小额支付的额度上限由用户自行设定，支付宝提供多档选择，包括每笔200元到2000元，每日的支付限额由用户在绑定的银行卡上进行设置。

1月10日上午，支付宝方面表示，已经提高了风控系统的安全等级。目前仅在用户自己的上，才能通过识别近期购买商品以及识别本人好友来找回登录密码，通过其他设备是无法应用这一方式找回登录密码的。

另外，支付宝表示，就算支付宝登录密码被重置，后续支付宝也会启动一系列风险防护策略。比如，支付宝是单点登录，也就是说，在别处上线，自己会受到通知的。如果登录密码不是用户自己修改的，用户肯定知道有别人登录了，这时可以联系客服。假如用户没有注意到提醒，后台的风控机制也会进行检测，交易可能会被判定失败，同时账户支付权被限制。

支付宝向财新表示，只要是非本人把钱从自己的账户中转出去，一般情况下都可以被视为“盗刷”，保险公司会对针对这些情况进行保险理赔；但假如是通过本人操作，比如被他人诱骗后，自己输入支付密码完成转账，那保险公司一般无法赔付，因为这种情况存在一定的道德风险。

支付宝方面表示，对盗刷的认定没有太过统一的标准，要根据每个案例来分析，总之只要不是由于个人过失造成的，比如是由于支付宝服务造成的原因，都会得到赔付。支付宝软件里就可以直接购买支付宝账户安全险，根据账户的风险程度定价。比如用户经常修改密码，可能保费比较高。如果没有购买这个险种，被认定为“盗刷”后，依然可以获得赔付，具体是由支付宝公司购买的险种来赔付。此前，支付宝也开展过活动，向用户赠送账户安全险。购买险种的用户，即便出现“盗刷”获得赔付后，也不会对账户的风险程度造成影响，这意味着以后购买账户安全险的保费不会增高；如果没有购买该险种，获得支付宝方面的赔付后，用户账户风险等级会被视为增高，其购买这个险种的价格也会增高。

目前支付宝页面上有相关的保险产品，全称为“支付宝账户安全险”，0.88元起投，保障额度100万元，保障期限12个月，累计售出2.87亿份，由人保财险承保，保障期内，无限次赔付，全年累计最高可赔100万元

。

一位接近蚂蚁金服的技术人士向财新表明，安全系统升级之后，如果其他人异地或者换机登陆，系统会进行判断这个账户是否属于“风险账户”。简单来说，风险账户可能存在异地登录、更换登陆设备等问题。比如说上一秒在北京，下一秒在上海，会被认定是有风险的账户，除了账号和密码，还需要双因子验证，比如说验证码的验证。

支付宝公关人士认为，这时用户需要选择的找回登录密码的方式较为“私密”，包括回答安全保护问题、接收邮箱验证码、验证本人银行卡信息、拨打验证等多种途径，其中安全保护问题涉及用户本人的家庭关系等隐私信息，“如果某人连这些私密问题都了解，就等同于本人操作，一般可能就是家庭内部的问题了。”

一位支付宝人士解释，支付宝保护账号安全的大逻辑基于，登录密码和支付密码是两层系统，即使获得了登录密码，支付密码还可以拦下“盗刷”行为。