支付寶出錯！實名認(rèn)證驚天現(xiàn)漏洞

近日，有支付寶用戶突然發(fā)現(xiàn)自己的支付寶賬號突然多了五個綁定賬號，而這些賬號都沒有經(jīng)過他本人的認(rèn)證（事件原文鏈接）。
換句話說，他是在完全不知情的情況下，其支付寶賬戶下就多了5個綁定賬戶，而他本人也沒有收到任何形式的通知消息，包括短信、郵件、或者登錄后的站內(nèi)信息。
這位用戶的曬圖如下：

   用戶在電話咨詢支付寶客服后發(fā)現(xiàn)解綁較為困難，多次溝通無效后，該用戶將整個過程發(fā)布到網(wǎng)上，隨后支付寶針對此次事件作出了澄清。不少用戶對支付寶的澄清表示不滿，引起了人們的廣泛關(guān)注。
而實名認(rèn)證的賬戶之所以讓用戶如此擔(dān)心的原因還有一個，就是貸款也是在實名信息名下的，那么攻擊者可以用這些賬戶來貸款借錢？是否也意味著，別人可以輕易借殼于你的身份來貸款，而最終卻由你來還錢？
支付寶隨后在官方的聲明中回應(yīng)，關(guān)聯(lián)的陌生賬號不能以用戶的名義獲得貸款。

此次事件的真相和具體技術(shù)細(xì)節(jié)，其實阿里的各位同仁，特別是支付寶的安全團(tuán)隊，會更加清楚，我過去和他們有過一些溝通，他們在技術(shù)上頗有自己的獨到之處。面向數(shù)億普通用戶的金融產(chǎn)品，如何平衡易用性和安全性，如何做好風(fēng)險監(jiān)管，相信他們會更有發(fā)言權(quán)。
但本次事件究竟是如何從一個孤立事件變成了現(xiàn)在的軒然大波，整個處理過程之中有沒有值得改進(jìn)的地方？我想從風(fēng)險管理的角度談?wù)勛约旱目捶ā?/span>
我們知道阿里巴巴是一家科技公司，但是支付寶，則是一家互聯(lián)網(wǎng)金融公司，雖然使用了大量的IT技術(shù)，卻不能改變它是一家以支付、借貸、投資管理、信用管理等業(yè)務(wù)為核心的現(xiàn)代金融公司，IT技術(shù)只是承載金融業(yè)務(wù)的工具和平臺。本次事件，是否有支付寶的某些部門對這個定位認(rèn)識不清，從而造成現(xiàn)在后果的可能性呢？
請先讓我們來回顧下歷史，因為歷史總是驚人的相似。
大概在10多年前，傳統(tǒng)的金融行業(yè)經(jīng)歷了與今天支付寶事件類似的情況：不少金融從業(yè)人員利用職務(wù)之便，使用第三方人員的身份信息，大量申請辦理信用卡，輕則套取新辦卡每張數(shù)十到上百元的補(bǔ)貼，重則進(jìn)行惡意透支套現(xiàn)，給銀行帶來了重大損失，而信息被盜取者也遇到了不少麻煩。
之所以會出現(xiàn)這種情況，是因為當(dāng)時信用卡業(yè)務(wù)的發(fā)展尚處于野蠻生長期，各家銀行均把圈地發(fā)展用戶數(shù)作為了首要目標(biāo)，一時之間卡片漫天，甚至出現(xiàn)過一個普通的工薪收入者手上有五六張不同信用卡的情況。
為了給發(fā)展用戶提供便利，很多銀行都降低了申請門檻，可以沒有良好的信用記錄、可以不需要本人在場、可以不考慮還款能力等等，為后來的各種信用卡違規(guī)犯罪開啟了方便之門。
而這與如今互聯(lián)網(wǎng)金融強(qiáng)勢崛起的情況何其相似：
由于互聯(lián)網(wǎng)金融的崛起，各家公司為了擴(kuò)大用戶數(shù)，提高交易金額，紛紛降低門檻，申請過程更容易、使用更容易，注銷更困難、解綁更困難，一切都是為了快速擴(kuò)張服務(wù)。
就本次事件來看，支付寶，或者說至少是支付寶的某個歷史版本，存在著用戶身份驗證不完全即可綁定賬號的潛在風(fēng)險。這也許是為了提高產(chǎn)品使用體驗而作出的妥協(xié)，或者是某個歷史版本的安全漏洞。用戶方也必然存在某種疏忽（比如個人信息泄漏，或者賬號密碼/郵箱泄漏）才有可能導(dǎo)致這個結(jié)果。
作為一家技術(shù)公司，當(dāng)然可以說產(chǎn)品不可能沒有安全漏洞，而且也可以清晰地通過找到用戶方的責(zé)任來對后果進(jìn)行免責(zé)。但是作為一家金融公司，特別是創(chuàng)新型的金融公司，首先要考慮的則是用戶的安全體驗對新業(yè)務(wù)推廣的正面和負(fù)面作用。
新業(yè)務(wù)的推廣需要改變用戶的使用習(xí)慣，并且克服用戶對新技術(shù)的恐懼，而信息安全問題恰好是其中會起到關(guān)鍵作用的一個點，不解決用戶對信息安全的擔(dān)憂，新業(yè)務(wù)就很難大規(guī)模的推廣。上個世紀(jì)美國的銀行為了推廣信用卡所采取的各種安全保障措施就是一個很好的例子。
而在用戶投訴階段，客服人員是否清楚現(xiàn)有產(chǎn)品和歷史產(chǎn)品的安全問題？是否能夠通過有效的溝通安撫用戶的情緒，并且及時地協(xié)助用戶解決問題？
互聯(lián)網(wǎng)金融的優(yōu)勢是采用互聯(lián)網(wǎng)技術(shù)能夠同時地服務(wù)海量的用戶，但是在風(fēng)險管理和用戶體驗管理上，僅憑自動化的機(jī)器，有時是不能滿足用戶需求的。如果用戶的滿意度下降，前期辛辛苦苦發(fā)展來的用戶群就會逐漸流失。
而互聯(lián)網(wǎng)的特性又使得負(fù)面情緒和事件會被無限放大，從而引入了商譽(yù)風(fēng)險，一旦危機(jī)公關(guān)措施不當(dāng)，商譽(yù)風(fēng)險的損失將遠(yuǎn)超過技術(shù)風(fēng)險。
本次事件中，支付寶的危機(jī)公關(guān)團(tuán)隊雖然響應(yīng)及時，但是卻未能有效地安撫用戶的情緒，也未能消除用戶對安全問題的疑慮，反而留下了撇清推卸責(zé)任的印象，整個溝通過程和方法是否過于以自我為中心？并未能考慮到用戶的體驗和心理接受程度？這些都是值得我們深思和引以為鑒的。
從監(jiān)管角度來說，監(jiān)管措施往往是落后于金融業(yè)務(wù)創(chuàng)新的。
新興的互聯(lián)網(wǎng)金融恰好處于金融監(jiān)管的灰色地帶，現(xiàn)有的監(jiān)管措施并不能有效地防范互聯(lián)網(wǎng)金融的風(fēng)險，這方面對監(jiān)管機(jī)構(gòu)盡快拿出新的風(fēng)控措施提出了挑戰(zhàn)。同時也更加要求行業(yè)龍頭擔(dān)負(fù)起責(zé)任，為整個產(chǎn)業(yè)的健康有序發(fā)展作出更大的貢獻(xiàn)。
從個人角度來說，應(yīng)注意以下幾點：
1、使用互聯(lián)網(wǎng)金融產(chǎn)品時要對可能面臨的信息安全風(fēng)險有著充分的認(rèn)識，對自己的風(fēng)險承擔(dān)能力也有著足夠的了解。
2、應(yīng)該要保護(hù)好自己的個人隱私，使用手機(jī)拍攝證件時要注意關(guān)閉云備份，使用完要及時刪除，也不要隨便將證件照上傳到不可信的網(wǎng)站。
3、盡可能使用復(fù)雜密碼，定期更換密碼，使用雙重認(rèn)證（例如USBKEY）。
4、盡可能使用專用設(shè)備進(jìn)行金融操作，而不是與平時上網(wǎng)或者游戲的設(shè)備混用，特別盡量不要把密保手機(jī)用來直接進(jìn)行交易。用來進(jìn)行金融操作的手機(jī)不要安裝非官方的應(yīng)用。
5、遇到安全問題之后不要恐慌，及時有效地與官方溝通，創(chuàng)新業(yè)務(wù)的一個好處就是為了確保業(yè)務(wù)的順利推廣，前期廠商往往會對用戶的風(fēng)險進(jìn)行兜底，所以良好有效的溝通后，實際損失并不會太嚴(yán)重。如果金額巨大，可以及時取證公證、并向監(jiān)管機(jī)構(gòu)或者消費者協(xié)會和媒體進(jìn)行投訴。
總的來說，其實支付寶本身安全性挺高，只是在其功能設(shè)計上暴露出了一些問題，不過后續(xù)的措施又防止了損失，所以主要還是在于用戶的使用環(huán)境。當(dāng)然，此次用戶個人信息被盜，而支付寶沒有拒絕用被盜信息注冊的多個賬戶，目前雖然并不會產(chǎn)生嚴(yán)重后果，但是金融的風(fēng)險監(jiān)管問題不容忽視。希望本文能夠引起對金融產(chǎn)品安全問題的注意。