注意：支付宝出现大漏洞 密码可被人篡改！！

1月10日凌晨，

朋友圈有人说支付宝可以更改别人的密码，

甚至可以不用别人原密码直接用手机号就可以更改。

广角君本着真实求证的心态试了试：居然真的可以更改！！！废话不多说直接上流程图。

1、打开支付宝登录界面，输入帐号后点击忘记密码

2、输入帐号后直接点无法接收短信

3、这里有很多验证方式，选择你所知道的方式，熟人验证，你知道的朋友信息

4、更改密码，原密码直接忘记，直接更改

修改完直接登入账户，

拥有全部功能，

且支持免密支付

原支付宝账户，

会收到密码被泄露的提醒，

但于事无补。

一觉醒来，

身边的朋友都在体验人人当黑客的感觉，

很有可能变成全民狂欢。

有几个关键点需注意：

谁可以拿到你的手机号？包括但不限于：

淘宝卖家

快递小哥

你的好朋友

谁可以知道你买了啥？包括但不限于：

淘宝卖家

快递小哥

你的好朋友

以上人群

利用漏洞重置登录密码的3个条件成立了两个，

而且重置登录密码可以多次重试…

如果你以为解绑银行卡就完了？

支付宝的支付路径包含但不限于

银行卡、花呗、付款码、余额宝、免密支付……

支付宝最新回应

我们接到网友反映，称可以通过识别好友、识别近期购买物品，来找回支付宝登录密码。

这一方式仅在特定情况下才会实现。通常情况下，用户找回登录密码至少需要输入手机短信验证码。对于部分暂时无法收到短信的用户或者更换移动设备的用户，我们的风控系统会先进行评估（比如账户信息完整程度、网络环境等因素）。在安全系数较高的情况下，才让用户回答一系列安全问题，只有在回答正确后，才能修改登录密码。

这一策略只能找回登录密码，仅通过回答安全问题并无法找回支付密码。且一旦用户支付宝在其他设备被登录，本人设备会收到通知提醒。

为了更好提升用户的安全感，在接到网友反映后，我们于上午进一步提高了风控系统的安全等级。目前仅在用户自己的手机上，才能通过识别近期购买商品以及识别本人好友来找回登录密码，通过其他手机设备是无法应用这一方式找回登录密码的。

我们也欢迎用户继续对我们的安全策略提出意见和建议，我们会根据大家的反馈进一步完善和修正。