手机丢失试验：手机丢了 移动支付还安全吗？

现在打车付钱、网购、缴费等日常消费，都能通过移动支付软件完成支付，手机正在被越来越多的人当做智能钱包。方便的同时，却也有担忧，手机支付真的安全吗？

支付宝：丢手机不影响账户安全

这两天，微博和微信朋友圈里一则“惊悚实验”被广泛散播，“如果你的手机丢了，任何人仅凭借手机接收到的校验码，就能找回你的支付宝密码，解除你的数字证书，盗空你的支付宝账户。”但事实真是如此吗？阿里小微金融服务集团首席风险官胡晓明正式回应称，这种说法纯属谣言。

一些用户根据帖子的指引，模拟自己手机丢失后找回密码的操作，发现果然通过一个手机校验码就成功了，而更多的用户在测试过程中却发现，网帖声称的方式并不可行。为什么结果会不一样？

胡晓明介绍，支付宝的安全基于一整套的风险防控体系，其中7×24小时的智能风险识别系统，会对用户的每一笔支付、每一次找回密码等关键操作进行智能识别，对不同风险级别的操作会要求不同的安全校验。

有用户根据帖子模拟成功，那是因为这些用户是在自己的电脑上，模拟自己“真实被盗”的过程，而支付宝的风控系统已经识别到这一点。胡晓明说，“如果真有别人捡到你的手机，想在别的电脑上找回你的支付宝密码，他一定需要"手机校验码+身份证信息"等更高安全级别的校验，绝对不可能仅通过一个手机校验码就找回密码。”

实际上，针对支付宝的安全机制，早在去年9月15日和11月23日，支付宝官方微博就进行过详细说明。此外，在去年4月16日，支付宝以保险（放心保）形式为用户提供了资金保障。当用户账户发生被盗，平安保险将全额赔付，赔付金额无上限，保费全部由支付宝承担。

手机系统：安卓手机“染毒”大增

随着智能手机用户的增加，瞄准手机系统的病毒、木马程序也在增加。在目前两大主流系统中，开放的安卓平台“威胁”加剧，而苹果的平台也不再“绝对安全”。

由于安卓平台是开源的，所以一直是恶意软件攻击的“重灾区”。去年，安卓平台被曝出3个“史上最严重的安卓系统漏洞”。黑客利用漏洞可在不破坏数字签名情况下，将木马植入正规应用，从而实现窃隐私、偷话费等。

《2013-2014中国互联网安全研究报告》指出，去年安卓平台安全形势堪忧，鉴定出的安卓手机病毒达到85万个，检出率为7%。被病毒感染的安卓手机数量超过270万部，相比往年大幅增加。有些手机病毒的破坏力甚至超过了此前泛滥的网购木马，开始直接威胁网民的资金账户。

苹果的系统曾被认为是最安全的系统，但在去年一串阿拉伯字符让iOS6的用户彻底“傻眼”。只要通过短信、微信、微博等方式发送一串特定的阿拉伯字符串，就可以让iPhone应用直接崩溃闪退，甚至手机重启，影响所有iOS6系统。

防范措施：三招构建移动支付防线

“我们想告诉大家的是，今天无论是PC支付还是移动支付，最大的问题是木马、病毒和钓鱼网站。尤其是在手机上，99%的被盗跟此相关，其余是用户被骗，而不是因为丢失手机。”胡晓明表示。

数据显示，去年全年，支付宝联合国内外反钓鱼组织及各浏览器厂商，共计屏蔽钓鱼网站155282个，占全球金融类钓鱼网站总量的43.49%。

木马钓鱼是目前用户网上支付时面临的主要风险，应该如何保障手机安全，构建移动支付的第一条防线？

支付宝安全专家表示，首先，不要“越狱”或“ROOT”手机。因为越狱后的手机可以随意安装软件，而很多具有安全风险的软件，普通用户是无法识别的。

其次，安装的手机软件来源，应该是官方的软件商店或正规软件网站，防止软件中被添加不明插件。

另外，邮箱、银行卡等需要密码的地方，不要使用同一密码。很多用户由于记忆密码很麻烦，喜欢在不同的网站使用同一用户名和密码组合“一码走天下”，但这样暗藏了巨大的安全风险。

 

《每日新报》王伟 王健