支付账户被盗刷的人 99%没有开通苹果手机的这个功能
前段时间,多名苹果手机用户反映自己的手机出现了异常支付,具体表现为他们的Apple ID在苹果的App Store产生多笔消费,数额从数百元到上万元不等(参见图1)。问题是,这些消费根本不是用户本人或亲属操作,消费记录显示多为游戏类APP内购(In-App-Purchase),一时间新闻报道不断,事件影响范围扩大,业界称之为 “苹果盗刷门”。
用户的Apple ID如何被盗?
很显然,图1这个用户的Apple ID被盗了。虽然目前幕后黑手还没有被锁定,但从作案的集中时间(凌晨)以及影响范围来看,大概率是黑客所为。
关注了“苏宁财富资讯”公众号的读者,或许已经从我们以往的文章中了解到黑客拖库和撞库的手段,即黑客从其他(非苹果)平台攫取到大量账号信息(拖库),因为总有一部分用户习惯了用同样的账号和密码注册,因此黑客在苹果App Store使用拖库得到的相同账户名(多为邮箱)和密码组合,尝试登录就能成功(撞库)。
这部分可以登录的Apple ID当中,又有一些开通了支付渠道免密支付功能,如图2所示:
此协议准许苹果App Store在收到用户(Apple ID)的消费请求时,无需额外验证,即可直接向用户关联的支付账户发起扣款。也就是说,黑客无需知晓受害人的支付账户和密码,就可以随意购买App内的收费项目(例如游戏装备、虚拟货币等),将受害人App账户内的虚拟商品变卖兑现,实现利益转移。