Uber“盜號(hào)問題”引關(guān)注 “代叫”黑色產(chǎn)業(yè)鏈蔓延

柏可林　攝

　　隨著Uber、滴滴等叫車軟件的普及,越來(lái)越多的用戶已經(jīng)習(xí)慣出行前通過(guò)叫車軟件打車。但是,近日卻有媒體曝光Uber叫車軟件存在漏洞,導(dǎo)致用戶賬號(hào)被盜,甚至在異地完成了叫車服務(wù),給用戶帶來(lái)金錢方面的損失,并由此衍生出一條“代叫”黑色產(chǎn)業(yè)鏈的新聞。

　　記者發(fā)現(xiàn),大部分用戶對(duì)Uber的質(zhì)疑集中在三個(gè)方面。其一,Uber客戶端存在漏洞,導(dǎo)致黑客可以在用戶毫不知情的情況下盜取賬號(hào)并修改密碼。其二,Uber在行程結(jié)束后會(huì)自動(dòng)通過(guò)已綁定的支付方式扣除車費(fèi),而無(wú)需驗(yàn)證和輸密環(huán)節(jié)。這一免密支付功能給“代叫者”提供了可趁之機(jī)。其三,Uber在注冊(cè)賬號(hào)時(shí)要求至少綁定一種支付方式,用戶在發(fā)現(xiàn)賬號(hào)被盜時(shí)無(wú)法解綁所有支付方式,可能造成額外的金錢損失。

　　針對(duì)上述三個(gè)問題,記者聯(lián)系Uber中國(guó)進(jìn)行采訪,但至今尚未收到回復(fù)。不過(guò),此前Uber中國(guó)方面曾回應(yīng)媒體稱,“盜號(hào)問題”是很多互聯(lián)網(wǎng)平臺(tái)遇到的共同挑戰(zhàn),Uber的網(wǎng)絡(luò)安全團(tuán)隊(duì)已經(jīng)著手調(diào)查此事,并將采取嚴(yán)格的安全防范措施,持續(xù)通過(guò)技術(shù)升級(jí)來(lái)鞏固平臺(tái)的安全。

　　目前,記者在微博、淘寶、微信等平臺(tái)搜索關(guān)鍵字“Uber”、“代叫”,依然可以找到。

　　免密支付惹的禍?

　　記者在微博上搜索“Uber”、“盜號(hào)”等關(guān)鍵字后,發(fā)現(xiàn)不少微博用戶都遭遇過(guò)Uber盜號(hào)事件。根據(jù)他們的描述,Uber賬號(hào)被盜是一個(gè)后知后覺的過(guò)程。大部分人表示自己明明沒有叫車,卻收到了“車到目的地”的消息,此時(shí)才發(fā)覺自己的Uber賬號(hào)被盜了。

　　更有甚者,是在收到支付寶或者銀行信用卡的扣款信息后,才發(fā)現(xiàn)Uber賬號(hào)被盜的事實(shí)。但是,當(dāng)大部分用戶想要登錄Uber賬號(hào)修改密碼時(shí),卻發(fā)現(xiàn)包括手機(jī)號(hào)碼、郵箱在內(nèi)的登錄信息已經(jīng)被修改,導(dǎo)致無(wú)法重置密碼。

　　微博用戶“杭之馮玥均建國(guó)后成精”因此質(zhì)疑,“Uber這樣的大公司,是怎么允許不經(jīng)過(guò)驗(yàn)證,就同時(shí)修改預(yù)留信箱和預(yù)留手機(jī)號(hào)的?如果這兩樣都已經(jīng)被盜號(hào)者修改的話,請(qǐng)問原賬號(hào)擁有者如何找回密碼?”

　　由于Uber付款采用免密支付的方式,因此大部分用戶在發(fā)現(xiàn)賬號(hào)被盜之后,第一反應(yīng)是解除綁定支付寶、銀行信用卡等支付方式。但記者查閱Uber用戶幫助信息,發(fā)現(xiàn)目前只支持支付寶和百度錢包的人工解綁服務(wù)。此外,由于Uber要求至少要綁定一種支付方式,導(dǎo)致許多用戶只能通過(guò)凍結(jié)支付寶或信用卡的方式避免損失。

　　據(jù)了解,在注冊(cè)Uber賬號(hào)時(shí),有以下兩種方式:授權(quán)支付寶賬號(hào)直接登錄,或用郵箱、手機(jī)號(hào)碼進(jìn)行注冊(cè),隨后,在百度錢包、銀聯(lián)、支付寶、國(guó)際信用卡中,至少添加一種付款方式進(jìn)行綁定;添加支付方式后,用戶在行程結(jié)束后,無(wú)需輸入支付密碼,便可自動(dòng)支付。

　　記者發(fā)現(xiàn)Uber用戶在關(guān)聯(lián)支付寶賬號(hào)時(shí),默認(rèn)同意《Uber代扣服務(wù)協(xié)議》。這份協(xié)議中規(guī)定,“收到商戶的請(qǐng)款請(qǐng)求后,支付寶將按直接借記模式為您提供本服務(wù),您授權(quán)支付寶可以根據(jù)商戶的請(qǐng)款請(qǐng)求直接扣款完成您的支付而無(wú)需您在每次付款時(shí)再行確認(rèn)發(fā)出支付指令。”

　　而Uber原本以為用戶帶來(lái)流暢體驗(yàn)為初衷設(shè)計(jì)的“免密支付”功能,現(xiàn)在卻被大量用戶詬病:一旦賬號(hào)被盜,綁定的支付方式就有被不法分子消費(fèi)的巨大風(fēng)險(xiǎn)。

　　“撞庫(kù)”攻擊導(dǎo)致盜號(hào)

　　那么,為什么Uber用戶的賬號(hào)會(huì)被盜呢?事實(shí)上,早在3月23日,就有網(wǎng)友指出Uber客戶端存在漏洞可能導(dǎo)致“撞庫(kù)”攻擊。

　　根據(jù)網(wǎng)友的調(diào)查,由于Uber注冊(cè)時(shí)使用的是手機(jī)號(hào),但登錄時(shí)卻不需要手機(jī)驗(yàn)證碼驗(yàn)證,加之由于Uber客戶端允多臺(tái)設(shè)備在線且沒有異地登陸提醒,導(dǎo)致黑客可以通過(guò)“暴力破解”的方式盜取賬號(hào),并修改郵箱和密碼。

　　而知乎網(wǎng)友“莫名”則指出另一個(gè)利用郵箱盜號(hào)的漏洞。他表示,黑客利用郵箱撞庫(kù)拿到密碼后,可以直接修改Uber賬號(hào)密碼,而不需要進(jìn)行安全問題等二次驗(yàn)證,而且全程手機(jī)端不會(huì)收到任何短信。當(dāng)黑客進(jìn)入被盜的Uber賬號(hào)后,捆綁的支付寶賬號(hào)或銀行卡號(hào)也隨之出現(xiàn)。

　　對(duì)此,Uber中國(guó)相關(guān)負(fù)責(zé)人也回應(yīng)稱,在多個(gè)互聯(lián)網(wǎng)平臺(tái)使用同一個(gè)賬號(hào)名和密碼,且密碼設(shè)置較為簡(jiǎn)單,較容易出現(xiàn)被他人盜號(hào)的現(xiàn)象。Uber中國(guó)網(wǎng)絡(luò)安全團(tuán)隊(duì)十分重視保護(hù)用戶的賬號(hào)安全,目前已通過(guò)多種途徑提醒廣大用戶在設(shè)置密碼時(shí)選擇復(fù)雜且獨(dú)特的密碼,避免在多個(gè)互聯(lián)網(wǎng)平臺(tái)使用同樣的賬號(hào)名和密碼,以提高自身安全系數(shù)。

　　不過(guò),也有不少用戶表示Uber對(duì)盜號(hào)問題的回應(yīng)不夠及時(shí)。由于Uber沒有在中國(guó)開通客服熱線,因此大部分用戶只能通過(guò)寫郵件的方式向Uber申訴。不過(guò),記者了解到,目前Uber已經(jīng)開通了賬戶安全幫助熱線,但僅限于處理賬戶未經(jīng)授權(quán)被他人使用、賬戶信息和初始設(shè)置不符兩類問題。

　　代叫黑色產(chǎn)業(yè)鏈

　　盜取Uber賬號(hào)之后,為了變現(xiàn),不法分子發(fā)展出了一條“代叫”的黑色產(chǎn)業(yè)鏈。

　　記者通過(guò)淘寶網(wǎng)找了一家提供Uber代叫服務(wù)的“商家”。對(duì)方表示,代叫服務(wù)全國(guó)通用,同城不限距離22.5元一單。具體的步驟是先通過(guò)淘寶旺旺告訴“商家”上、下車地點(diǎn),成功下單后對(duì)方會(huì)告知司機(jī)的電話和車牌號(hào),到了約定的時(shí)間直接上、下車,整個(gè)過(guò)程乘客無(wú)需支付給司機(jī)任何費(fèi)用。

　　記者還發(fā)現(xiàn),這些“代叫者”毫不避諱在微博、微信中“曬單”,并以介紹新用戶享受優(yōu)惠的方式擴(kuò)大業(yè)務(wù)范圍。更有甚者,有些人直接打出了招募分區(qū)域“代理”的廣告。

　　業(yè)內(nèi)人士認(rèn)為,代叫者選擇Uber,主要是因?yàn)樗淖詣?dòng)扣款功能。在其他的平臺(tái)消費(fèi)后付款時(shí),都需要確認(rèn)訂單或行程后,由消費(fèi)者主動(dòng)操作付款,但Uber在行程結(jié)束后會(huì)自動(dòng)通過(guò)已綁定的支付方式扣去車費(fèi),無(wú)需驗(yàn)證和輸密環(huán)節(jié)。

　　“代叫是利用了Uber軟件行程結(jié)束自動(dòng)扣款的特點(diǎn),通過(guò)盜取的賬號(hào)替人叫車。”西南科技大學(xué)法學(xué)院副教授廖天虎在接受媒體采訪時(shí)表示,如果代叫者實(shí)施盜竊他人賬戶信息或信用卡并使用的,便構(gòu)成盜竊罪;如果代叫者沒有實(shí)施竊取行為,而是明知是非法獲取的賬戶數(shù)據(jù)信息,而予以收購(gòu)或代為銷售的,則構(gòu)成掩飾、隱瞞犯罪所得罪。

　　對(duì)于網(wǎng)絡(luò)上出現(xiàn)的大量的“Uber代叫”服務(wù),Uber中國(guó)回應(yīng)媒體稱:“這不是一種服務(wù),而是不法分子的一種銷贓行為,利用極少數(shù)用戶貪小便宜的心理,侵害其他用戶的財(cái)產(chǎn),也嚴(yán)重?fù)p害了被‘盜號(hào)’用戶對(duì)優(yōu)步平臺(tái)的信任?！盪ber方面稱將對(duì)此嚴(yán)厲打擊,并通過(guò)不斷的技術(shù)升級(jí)提升安全防范措施。

免責(zé)聲明：中國(guó)網(wǎng)財(cái)經(jīng)轉(zhuǎn)載此文目的在于傳遞更多信息，不代表本網(wǎng)的觀點(diǎn)和立場(chǎng)。文章內(nèi)容僅供參考，不構(gòu)成投資建議。投資者據(jù)此操作，風(fēng)險(xiǎn)自擔(dān)。