在現(xiàn)在互聯(lián)網(wǎng)的時代，面對各種針對互聯(lián)網(wǎng)的安全問題，沒有一勞永逸的辦法。例如支付寶雖然設(shè)置了多道門檻，但是隨著不法分子盜取用戶信息的手段越來越高明，依然存有隱患。據(jù)調(diào)查，互聯(lián)網(wǎng)支付和移動支付等第三平臺的安全防護(hù)手段還不足以防范不法分子的攻擊，而這無疑是給用戶留下了巨大的安全隱患。近日，手機支付存隱患安全漏洞被曝光。
《新浪科技》報導(dǎo)，近一段時間手機用戶爆料，其銀行卡存款突然不翼而飛。
一名福建用戶稱，銀行卡被人從網(wǎng)上利用支付寶、網(wǎng)易寶等第三方支付方式盜刷了6筆2000元錢。另一江蘇省揚州市記者披露的一起銀行卡盜刷案，當(dāng)事人銀行卡被盜刷6萬多元。
據(jù)警方介紹，在銀行卡被盜刷之前，當(dāng)事人的銀行卡以及保障網(wǎng)銀安全的U盾、密碼等都沒有丟失過，更為奇怪的問題是，在整個盜刷過程中，當(dāng)事人和銀行卡綁定的手機也沒有顯示出賬戶變化的提醒簡訊，直到當(dāng)事人自己刷卡消費的時候，才發(fā)現(xiàn)銀行卡被盜刷了。
按照支付寶等第三方支付平臺現(xiàn)有的安全防范措施，只有同時掌握賬號、登錄密碼、支付密碼以及簡訊驗證碼這四道安全防護(hù)密匙，才有可能從網(wǎng)上通過第三方支付平臺刷卡轉(zhuǎn)賬。
報導(dǎo)指出，由于用戶個人不慎泄露了隱私信息，導(dǎo)致銀行卡資金被盜?，F(xiàn)在已經(jīng)拿到用戶的這款小米2手機，存在比較多的安全漏洞。
清華大學(xué)副研究員、國家重大專項課題之《Linux/Android操作系統(tǒng)安全漏洞檢測》研究小組負(fù)責(zé)人諸葛建偉表示，攻擊者會設(shè)置一個公共的釣魚wifi，通過去配置這樣的一款無線路由器，去把它作為用戶手機上網(wǎng)的，中間人攻擊的一個節(jié)點。那如果用戶為了省流量，用他的手機連入到這樣的一個公共Wifi里，用戶的上網(wǎng)流量就會被劫持到攻擊者指定的一個筆記本電腦或者是PC上。
專家介紹說，一旦手機用戶的上網(wǎng)數(shù)據(jù)流被攻擊者劫持，用戶點開的任何一個網(wǎng)頁，實際上都可能被攻擊者暗地里插入了惡意攻擊程序，它會利用手機瀏覽器的安全漏洞，接著在用戶手機中自動植入新的木馬程序。而這種木馬程序又會進(jìn)一步利用手機操作系統(tǒng)內(nèi)核中存在的ROOT提權(quán)漏洞，這種漏洞會被用來獲取原本屬于系統(tǒng)自身才能擁有的最高許可權(quán)，這就意味著攻擊者由此獲得了手機的完全控制權(quán)。
當(dāng)用戶在手機上輸入支付寶賬號和密碼的時候，這些極其重要的賬戶認(rèn)證信息幾乎同時暴露在攻擊者的電腦屏幕上。
按照支付寶的流程設(shè)計，單筆付款金額達(dá)到200元，必須經(jīng)過簡訊驗證碼確認(rèn)后，才能完成支付操作。然而，專家分析發(fā)現(xiàn)，攻擊者獲得手機完全控制權(quán)后，簡訊驗證碼的安全防范作用也就相當(dāng)于形同虛設(shè)。
同時他還可以利用手機上的木馬程序，對支付寶發(fā)給用戶手機的一個驗證碼來進(jìn)行攔截。這種新的攻擊方式是可以讓攻擊者非常從容在用戶完全沒有察覺的這種情況下，偷偷地把你的錢轉(zhuǎn)走。
除小米2 機型外，像三星的Galaxy S4、谷歌(551.76, 0.41, 0.07%)的Nexus4以及華為、聯(lián)想的(品牌的)一些機型，也都同樣存在著這樣的ROOT提權(quán)安全漏洞，也就是能夠讓攻擊者獲取手機最高許可權(quán)的一個漏洞。
這種攻擊模式是組合使用瀏覽器的漏洞和本地root提權(quán)漏洞，進(jìn)行進(jìn)一步的攻擊，完全屏蔽掉360手機衛(wèi)士的運行，從而讓它失效，我們還進(jìn)一步分析發(fā)現(xiàn)，這種攻擊模式，對像騰訊(117.2, 1.10, 0.95%, 實時行情)手機管家這樣的一些市場上主流的手機安全軟體同樣有效，同樣可以讓它們失去保護(hù)手機的效果。
在進(jìn)行一個惡意轉(zhuǎn)賬之后，可以徹底地把木馬程序和所有的一些日志都進(jìn)行一個擦除。這樣的話，即使你進(jìn)行了一個報案，你把這個手機交給了警方，警方(目前)也沒有任何的辦法通過舉證分析去找到攻擊者的一個線索。
據(jù)報導(dǎo)，支付寶應(yīng)用由于缺乏一些對抗逆向分析的機制，以及并沒有對修改后的支付寶應(yīng)用進(jìn)行一個驗證，就使得被修改后后的支付寶應(yīng)用還可以像原來一樣去連接伺服器，來完成登錄和轉(zhuǎn)賬的操作。
專家研究分析和測試后發(fā)現(xiàn)，攻擊者之所以能獲取手機用戶的支付寶賬號和密碼等重要的認(rèn)證信息，恰恰就是因為他能夠?qū)χЦ秾殤?yīng)用程序進(jìn)行插樁，植入惡意程序片段，對用戶輸入進(jìn)行監(jiān)控。
加微信獲取報價