人在成都卻在武漢打車 優(yōu)步存漏洞

四川在線-華西都市報(bào)6月16日?qǐng)?bào)道15日凌晨，家住成都的黎先生正在熟睡。可是他沒想到，自己的優(yōu)步賬戶已經(jīng)被盜號(hào)。早上9點(diǎn)多，自己的賬戶已經(jīng)出現(xiàn)在千里之外的武漢。由于優(yōu)步自身默認(rèn)開啟的免密支付。黎先生趕忙將自己的銀行卡凍結(jié)。

對(duì)此優(yōu)步方面回應(yīng)稱，黎先生的情況可能是由于撞庫。并表示一直在提醒用戶，設(shè)置不重復(fù)的密碼。不過對(duì)于設(shè)置二次密碼方面的問題，優(yōu)步方避而不談。事件 凌晨2點(diǎn)收到改密郵件

黎先生今年裝上了優(yōu)步。不過在今年5月10日之后，他選擇了另一更便宜的叫車軟件。然而，已經(jīng)停用的優(yōu)步卻像一顆定時(shí)炸彈，在一個(gè)月后突然“炸了”。

15日早上7點(diǎn)左右，黎先生準(zhǔn)備起床時(shí)順手拿起了手機(jī)，此時(shí)的手機(jī)上顯示了一封未讀郵件，接收時(shí)間為凌晨2點(diǎn)左右。郵件上寫著，黎先生的優(yōu)步賬戶，包括手機(jī)號(hào)碼和電子郵件信息已經(jīng)被更新。郵件還提示，如果本人沒有進(jìn)行修改，還需點(diǎn)擊一個(gè)鏈接。

不過由于睡眼惺忪，加之對(duì)鏈接存疑，他并未在意。隨后便出門上班。到了上午9點(diǎn)多，黎先生突然收到一條短信，信用卡也已經(jīng)預(yù)扣了6元多。隨后優(yōu)步APP也提示，預(yù)約的車輛已經(jīng)到達(dá)。然而黎先生發(fā)現(xiàn)，自己已經(jīng)無法用自己的賬戶在優(yōu)步上登錄。

“自己”在武漢乘車被扣款

眼見自己的信用卡被扣錢，黎先生趕忙將自己銀行卡凍結(jié)。隨后想起了早晨的郵件上的鏈接。輸入自己的郵箱后，系統(tǒng)提示將給他發(fā)送一條修改密碼的鏈接，但是這樣的鏈接黎先生卻一直沒有收到。

“打車用不了多少錢，但是信用卡隨時(shí)被別人用影響我的信用就不得了了?！崩柘壬嬖V記者，由于沒等到優(yōu)步客服的郵件回復(fù)，他幾經(jīng)輾轉(zhuǎn)，找到了一個(gè)名為“Uber成都”的微博號(hào)，才與優(yōu)步方面取得聯(lián)系?！皟?yōu)步的人私信說，我的賬戶今天在武漢坐了一段路?！?/p>

下午1點(diǎn)左右，經(jīng)過優(yōu)步方面的處理，黎先生告訴記者，目前自己已經(jīng)能夠登上自己的賬戶。“之前我在網(wǎng)上看到有些人賬號(hào)被盜的事情，沒想到真的發(fā)生在了自己身上?！彪S后，黎先生立馬將自己的優(yōu)步賬戶刪除。

疑問

為何盜號(hào)頻發(fā)？優(yōu)步存漏洞或被撞庫攻擊

事實(shí)上，本月成都已有兩位市民優(yōu)步賬戶被盜。此外，今年廣州、上海等地也都發(fā)生了類似事件。頻頻發(fā)生的優(yōu)步用戶賬戶密碼被盜事件，作為廠商的優(yōu)步是否在保護(hù)用戶賬號(hào)密碼安全方面也有欠缺呢？

記者在國內(nèi)著名安全問題反饋及發(fā)布平臺(tái)烏云網(wǎng)上發(fā)現(xiàn)，早在今年3月就已經(jīng)有作者提交了優(yōu)步客戶端接口設(shè)計(jì)漏洞，并指出這一漏洞將可能導(dǎo)致撞庫攻擊。

所謂“撞庫”，是由于很多用戶在不同網(wǎng)站使用的是相同的賬號(hào)密碼，因此黑客可以通過獲取用戶在A網(wǎng)站的賬戶從而嘗試登錄B網(wǎng)址。

“優(yōu)步用戶的賬號(hào)密碼發(fā)生泄露非常有可能是與撞庫攻擊相關(guān)?！鲍C豹移動(dòng)安全工程師李鐵軍告訴記者，撞庫攻擊在國內(nèi)信息安全領(lǐng)域是非常常見的攻擊，不少用戶對(duì)優(yōu)步賬戶的安全不太在意，而優(yōu)步本身產(chǎn)品設(shè)計(jì)的問題使得用戶要將銀行卡和賬戶解綁非常困難，這是導(dǎo)致優(yōu)步賬戶被盜現(xiàn)象高發(fā)的原因。

如何避免盜號(hào)？優(yōu)步尚有多處需要改進(jìn)

盜號(hào)頻發(fā)是否與撞庫攻擊導(dǎo)致用戶賬號(hào)密碼泄露有關(guān)？對(duì)此，優(yōu)步回應(yīng)稱確與撞庫攻擊相關(guān)，并表示?！皟?yōu)步一直通過多種途徑提醒廣大用戶在設(shè)置密碼時(shí)選擇復(fù)雜且獨(dú)特的密碼，避免在多個(gè)互聯(lián)網(wǎng)平臺(tái)使用同樣的賬戶名和密碼?！蓖瑫r(shí)，Uber表示，近日檢測(cè)到一些用戶的賬戶存在潛在風(fēng)險(xiǎn)，已啟動(dòng)特別保護(hù)程序。

李鐵軍認(rèn)為，產(chǎn)品設(shè)計(jì)上僅僅使用“用戶名+密碼”的驗(yàn)證方式其實(shí)是非常不安全的。優(yōu)步作為廠商應(yīng)當(dāng)對(duì)賬號(hào)系統(tǒng)安全問題進(jìn)行升級(jí)，加入短信或動(dòng)態(tài)密碼驗(yàn)證。

烏云網(wǎng)創(chuàng)始人方小航表示，由于國內(nèi)信息安全漏洞較多，因此用戶賬戶密碼泄露的情況也十分普遍，而優(yōu)步作為外企，在這方面的經(jīng)驗(yàn)可能有所不足。“優(yōu)步完全可以從用戶登錄等方面進(jìn)行一些限制，或是對(duì)用戶異地登錄時(shí)進(jìn)行提醒等。另外在行程結(jié)束后用戶支付時(shí)，再次進(jìn)行驗(yàn)證避免直接扣款套現(xiàn)也是廠商可以采取的安全措施?！狈叫『秸f?；貞?yīng) 柳甄：會(huì)在安全與便捷中作平衡

記者發(fā)現(xiàn)，優(yōu)步在綁定支付方式時(shí)默認(rèn)的是免密支付，有業(yè)內(nèi)人士認(rèn)為，正是優(yōu)步這樣的特性導(dǎo)致這種方式可能會(huì)引起黑客的注意，Uber有沒有可能改成選擇密碼支付或免密支付？

對(duì)此問題，中國優(yōu)步高級(jí)副總裁柳甄回答說，“我們一直想在便捷和安全、效率方面做一個(gè)最好的平衡，有很多人覺得如果下了車什么都不用做，優(yōu)步就自動(dòng)結(jié)賬了，這樣的感覺非常流暢。因?yàn)檫BApple Pay還要指紋支付。我們想在不犧牲用戶便捷和體驗(yàn)的同時(shí)加強(qiáng)安全和風(fēng)險(xiǎn)控制之間尋找一個(gè)平衡?！?/p>

不過，在最近的兩三個(gè)月里，成都投訴優(yōu)步的案例明顯增多，5、6月間見諸報(bào)道的已經(jīng)超過5起。對(duì)此柳甄回應(yīng)“接到投訴的這個(gè)比例沒有增加，只是因?yàn)槲覀兊挠脩魯?shù)量猛漲，上了量之后就會(huì)讓人感覺投訴增多?！?/p>

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。