手機ID頻遭盜刷，蘋果安全百密一疏？

頻繁出現的蘋果手機ID頻遭盜刷，是如何發生的？

文｜尹子璇編｜楊肖若

出品｜商業秀

注意了！如果你的蘋果手機綁定了支付寶的免密交易系統，那么有可能存在賬戶被盜刷的風險。

近日，多位蘋果手機用戶在小紅書等多個渠道反饋，自己的蘋果ID被盜刷，隨后其蘋果ID綁定的支付寶免密賬戶被用于多類型線上消費。

據不完全統計，多位用戶因此造成的人均經濟損失達數千元?！干虡I秀」在黑貓投訴上搜索“蘋果盜刷”，相關投訴共計4536條。

而在小紅書上，被盜刷的經歷分享帖及款項追回分享帖也屢見不鮮。

在一些被盜刷的用戶微信群里，有人表示，這是一種從沒遇到過的新型詐騙方式；有人則表示，這也許涉及蘋果安全存在技術漏洞問題。

這些頻繁出現的蘋果手機ID“被盜刷事件”，究竟是如何發生的？誰該負責？除了報警，等待追回款項。蘋果用戶們，又該如何防范？

-BusinessShow-01

陌生用戶加入家庭賬戶

凌晨被盜刷十數筆

11月13日晚，在深圳工作的小亞（化名）收到一條短信，短信提示小亞的Apple賬戶出現異常，需要點擊鏈接開啟雙重驗證。

據小亞對「商業秀」回憶，這是一個高度復刻蘋果官網的網站，細節與蘋果官網無異，且上面有小亞的蘋果ID，需要小亞輸入密碼進行驗證，在小亞輸入密碼后顯示驗證成功。

奇怪的是，在11月17日早上，小亞起床后發現自己的賬戶已經被盜刷了近3000元。

事件發生后，小亞立刻報警，在與警察的共同梳理中，事件全貌似乎浮出水面：

凌晨4點28分開始，一個名為“向俊權”的賬戶加入小亞的“蘋果家庭賬戶”，往一款名為《熱血傳奇》的游戲進行了共13筆消費，共計人民幣2880元，此時，因多筆消費都是類似金額，小亞的銀行發現異常，鎖定了其銀行賬戶。隨后，在4點46分，“向俊權”馬上就退出了小亞家庭賬戶，然后抹去他所有的痕跡。

那么，“向俊權”是如何加入到小亞的家庭賬戶的呢？

小亞翻開自己的iCloud郵箱發現，11月13日下午他曾收到一封提示，有個國外的號碼加入了“雙重驗證的安全手機范疇”。

小亞告訴「商業秀」，“iCloud郵箱并不常用，在被盜刷之前，我并沒有看到這封郵件?！彼虼伺袛?，正是這個受信任的電話號碼，幫助“向俊權”加入了自己的賬戶。

報警后，小亞也在小紅書上分享了自己被盜刷的經歷，跟帖留言者眾多，原來近期有相似經歷的受害者并不少，且多發于廣東地區。

無獨有偶。來自汕頭的標標（化名）告訴「商業秀」，同樣是在11月13日下午，她也收到了一條1069開頭的短信，讓她進行蘋果賬戶認證。

標標在網站中輸入蘋果賬號及密碼后，還進行了二級驗證。直到11月17日凌晨4點，一個名為“劉靜波”的ID進入了標標的家庭賬戶，共消費了17筆，其中15筆分別為328元的消費用于《熱血傳奇》游戲的充值，還有一兩筆小額消費用于快手充值，因為銀行卡余額不夠，甚至開始扣除標標花唄的額度。

當時標標立刻發現了消費異常，但讓標標無力的是，他并不知道這一盜刷行為是源于什么，只能挨個進行賬戶解綁、關閉自己的免密支付，并將“劉靜波”剔除了自己的家庭用戶。

與小亞相同的是，標標也曾點進一個“釣魚網站”，且自己的蘋果ID也開通了支付寶免密支付。不同的是，標標的手機并未出現別的受信任手機賬號。

目前，標標正在蘋果進行退款申訴，但初次申訴已經失敗。標標翻看了小紅書眾多分享貼后表示，“只有兩次申訴機會，大多數人兩次申訴都沒有成功，我現在黑貓投訴、315等渠道都試過了，但我感覺追回可能性也不大?！?/strong>

-BusinessShow-02

款項追回難

誰該負責？

實際上，早在2018年10月，就曾有全國多地蘋果手機用戶反映稱，他們在蘋果支付上遭遇了盜刷事件。當時據多家媒體報道稱，被盜刷人數超700人。

「商業秀」在黑貓投訴上搜索發現，圍繞蘋果盜刷的投訴達到了4536條。今年8月，小紅書也涌現多位盜刷受害者，他們的經歷大多與小亞、標標類似，都是通過一個釣魚網站獲取用戶的賬號和密碼，而這些用戶也都綁定了支付寶免密交易。且多發于凌晨，在多數人都已熟睡的時刻，一位陌生用戶開始加入受害者的家庭用戶，盜刷開啟。

小紅書上多位受害者表示，他們被盜刷的資金去向不同，有的用于《王者榮耀》、《熱血傳奇》等游戲中購買游戲貨幣，有的用于快手、抖音等軟件充值。

在一些案例分享中，也有用戶表示，未抹除賬戶信息但丟失的手機設備也可能會被盜刷，還可能會出現被“二次盜刷”。而且這些被二次盜刷的用戶在修改了賬號密碼后，還可能會再次被盜刷。

他們交流總結發現，背后的流程何其相似：用戶的賬戶在不知情的情況下，被人綁定了一個“受信任電話號碼”。通過這個“受信任電話號碼”，騙子可以再次對他們的賬戶進行操作。

盜刷發生后，追回款項成為最大的難題。如今，多位受害者首選報警。據「商業秀」了解，報警的多位受害者也均表示知道款項追回的可能性不大；也有用戶聯系到最終款項流向的游戲公司，但游戲公司即使配合，也難以找回。

一位被盜刷至《三國：謀定天下》游戲充值的用戶稱，他在聯系該公司客服后得到反饋，如果警方聯系，他們會進行配合。

標標則告訴「商業秀」，“我從來就沒有下載過《熱血傳奇》這個游戲，也聯系不上那個公司。在我剔除‘劉靜波’這個賬戶后，具體的消費信息在那個賬戶上，我也就再也查不到了，又怎么追回呢？”

最終，多位被盜刷的蘋果用戶將矛頭指向了蘋果公司。小亞告訴「商業秀」，“我完全不知道，如果一個人加入到你的家庭賬戶里面去，他就有權使用我綁定了支付寶免密功能的蘋果支付賬戶，在蘋果商店進行消費。在別人加入我的蘋果家庭用戶這個過程中，蘋果難道不需要再次獲得我的授權嗎？”

而因別人遭遇的“二次盜刷”經歷，如今標標即使修改了自己的蘋果賬號密碼，依然解綁了自己蘋果手機上的所有銀行卡。

他提出了和小亞一樣的疑問，“我不明白為什么家庭共享可以不需要經過同意直接加入，且可以進行資金操作。”

針對家庭賬戶這一問題，「商業秀」致電了蘋果客服。蘋果客服表示，如果用戶開通了iMessages功能，當別人獲得了賬戶密碼后，可以通過登錄賬號，發送iMessages信息邀請別人加入自己的家庭用戶，在這個過程中，不需要二次授權。

面對多位用戶遭遇盜刷問題，蘋果客服則表示，建議遭遇此類情況的用戶可以進行報警處理，并提高安全意識。

而蘋果本是為了用戶方便的家庭群組功能，成了此次盜刷的漏洞。對此，「商業秀」詢問了相關安全專家，對方稱，“這應該屬于社工攻擊（社交工程欺詐，包括網絡釣魚信息、虛假支持來電和其他詐騙）。簡單而言，這就是利用了一些用戶交互過程當中的漏洞，而不是針對蘋果系統本身發起的涉及到安全技術的攻擊。”

該安全專家同時表示，蘋果在流程上也存在一定失誤，蘋果覺得這些風險不會被利用，或是經過了一次或者兩次簡單的安全驗證就放行，但其實被黑灰產利用后，這些漏洞就會放大。

他指出，蘋果對此肯定是有一定責任的，起碼發生盜刷事件后，首先，作為平臺方，應該快速反應并制止；其次，應該盡到告知義務，用戶的賬戶要經過多次驗證，盡可能地保護蘋果用戶的賬戶安全。

北京市中聞律師事務所合伙人李亞告訴「商業秀」，“用戶需要去核實這種網站真偽的義務，類似短信都要慎重打開，涉及支付指令更應慎重。蘋果在產品設計上并不是‘合規不合規’的問題，只能說，它可能會存在一定缺陷?！?/p>

針對已經出現盜刷情況的用戶，李亞提醒，“第一時間肯定是要報警；其次，相應人員還是要跟蘋果公司進行溝通，也說明一下這種自己被盜刷的這種原因，并且要告知蘋果公司，建議他們針對客戶的損失是不是要承擔相應的責任。如果是多批用戶出現類似情況聯系了蘋果卻沒有改善，那用戶可以向有關監管部門進行反映?！薄竿辍?/p>

（應受訪者要求，文中小亞、標標等均為化名）