支付宝漏洞事件

2023年12月19日中午，支付我的宝漏支付宝突然弹出一条推送：“您的账户存在异常登录，请立即验证身份。洞事”当时我正在便利店买午饭，支付扫码付款时页面卡了整整十秒。宝漏收银员盯着我，洞事后面排队的支付大爷开始啧嘴。我以为是宝漏手机信号问题，退出重进，洞事结果跳出一个陌生设备登录记录——设备型号显示为“未知安卓”，支付登录地点在广东深圳，宝漏而我人在北京。洞事

这不是支付个例。那天下午，宝漏微博上陆续有人贴出截图，洞事有人被转走了余额宝里的两千块，有人花呗突然多出三笔陌生消费。一个杭州的网友说，他凌晨三点收到短信验证码轰炸，早上醒来发现绑定的银行卡被扣了八笔“游戏充值”。支付宝官方在当天傍晚发了声明，承认“部分用户账户存在异常访问”，但强调“资金安全不受影响”。这话说得太轻巧了，我那个做后端开发的朋友直接骂了句脏话：“不受影响？那是他们风控拦截得快，没拦住的呢？”

漏洞出在哪？后来有技术社区扒出了细节。问题不在支付密码，也不在指纹识别，而是支付宝一个叫“设备信任”的旧机制。简单说，你换手机登录时，系统会发短信验证码，但如果你曾经在某个设备上勾选过“信任此设备”，那个设备就能绕过二次验证。攻击者通过撞库拿到账号密码后，伪造了一个“已信任”的设备标识，直接登录。更离谱的是，这个信任列表在用户端根本看不到，你没法手动删掉那些幽灵设备。

我打电话给支付宝客服，等了四十分钟才接通。客服说“建议您开启人脸识别”，我问那之前被信任的设备会不会自动失效，她沉默了几秒，说“需要您手动在安全设置里移除”。可安全设置里压根没有这个入口。后来我在一个程序员论坛看到有人说，得通过网页版支付宝的“安全中心”才能找到隐藏的设备管理页面。这设计逻辑就很奇怪——移动端出事，解决方案藏在网页端。

有个细节值得琢磨。12月19日当天，支付宝在应用内推了一个“安全升级”弹窗，要求用户重新验证身份。但很多人点了“稍后再说”，因为那个弹窗做得跟广告似的，蓝底白字，右下角一个灰色小叉。我截了图发给朋友，他说：“这不就是典型的‘用户不会看’设计吗？”支付宝后来解释说是“灰度测试”，可灰度测试偏偏赶在漏洞曝光同一天，时间点太巧了。

这件事之后，我把余额宝里的钱转了大半回银行卡。不是不信支付宝，是不信任何把安全机制藏起来的系统。你让我看设备列表，我能自己判断；你藏起来，我就只能靠运气。那个被转走两千块的网友后来发了条动态，说支付宝赔了钱，但没解释漏洞怎么来的。“赔钱是应该的，可我想知道我的账号到底怎么被盯上的。”这条动态下面有两千多条评论，大多数人都在问同一个问题：我的信任设备列表在哪看？

到现在，支付宝的“设备管理”入口依然藏得很深。我试过在搜索框输入“设备”，跳出来的全是“设备锁”“设备管理”的营销页面。真正的安全设置，得点“我的”-“设置”-“账号与安全”-“安全中心”-“更多服务”，然后在一个折叠菜单里找到“设备管理”。五层跳转，每一步都在劝你放弃。这大概就是互联网产品的通病——把安全功能做得像迷宫，把营销入口做得像高速公路。

漏洞事件过去快一年了。我偶尔还会收到“异地登录”的提醒，点进去看，都是自己出差时用的酒店电脑。但每次看到那个红色感叹号，还是会心里一紧。技术上的漏洞可以补，信任上的裂缝补起来慢得多。支付宝后来加了“登录保护”的强制开关，可默认还是关闭状态。你得自己去找，自己去开。这就像你家门锁有个后门，厂家说“你可以自己封上”，但封不封随你。