[警醒] 支付宝的 App Store 免密支付盗刷

[leega0]

背景：一大早还没睡醒，家里人突然把我叫醒说支付宝被盗刷了，我一看，支付宝提示有十多条 App Store 的免密交易记录，有成功有失败的，合计大概近 2000 的金额。

措施：首先马上关闭了支付宝的免密支付，然后修改了苹果账户的密码。

原因：上周收到了钓鱼短信，她居然老老实实输入了账户密码（我说安全教育了那么多，她反驳说不是银行卡啥的就没注意）目前短信已经找不到，不知道为何消失了，但是还有网页访问记录（图 1 ），然后这个操作可能就是通过用户两步验证添加了授权设备，凌晨增加了家庭共享账户（图 2 ）进行消费充值。

疑惑： 1 、用这么多年苹果都没搞懂家庭账户消费，骗子轻松拿捏，而且这中间不需要主账号进行任何支付前的二次确认。 2 、支付宝风控能力是有，为什么不拦截全部，我前几天给新家充电费提示交易中断且需要我本人上传材料才能解除限制，苹果免密大半夜连续消费却成功一部分拦截一部分。

补救： 1 、支付宝交易记录中维权账户盗刷，提示免密交易不属于支付宝账户责任，引导我联系苹果客服。 2 、打客服电话反馈了，说 48 小时内给回复。（概率似乎不大，退款成功多，拒绝的也多） 3 、准备打 12315

警醒：关闭各类免密支付，多给家人做安全教育，我这就是个反面例子，短信的链接不管什么都不要乱点，一般人没有区分是不是官方的短信或者什么。

图 1 图 2

[Ccf]

跟苹果官方沟通一下，加强支付宝的安全验证

[leega0]

@Ccf 估计没用，这个盗刷事件从 18 年到现在至少上万件了，排除自己充错的，涉案金额也不小，苹果不改，支付宝不会瞎限制影响更多的正常用户消费。

[Martinez]

免密支付记得可以设置一天的限额多少...我绑定的微信支付至少是可以的。
#15 说的直接绑定信用卡真是个好方法，值得借鉴！

[Rrrrrr]

尼玛，真的无语了。这像普通人能干的事吗？

[djne]

家庭账号挺坑的，我的家庭账号之前给家里老人加了个账号，为了防止他们乱付费我给他们选了个 12 岁。现在不用这个账号了但我移除不了这个账号（因为是儿童），家庭解散不了（因为有儿童），儿童账号密码忘了找回不了恢复码无效，绑定的支付宝解约不了（因为家庭账号必须要有一个支付方式），支付宝那也解不了。后来我支付宝找人工，强行单向解绑，代价是以后苹果账号都绑不了支付宝了，我一点没考虑就同意了，这垃圾家庭账号以后不想再碰了。

[noyidoit]

@twinsdestiny 这种不太可能是充自己号，更可能是走闲鱼低价代充

[leega0]

@djne 反正我觉得苹果这块做的不咋完善，让骗子钻了漏洞，不然拿到 apple id 权限除了锁机勒索没有什么太大利益驱使骗子各种发钓鱼链接。

[xuanjiangsara]

@djne 哈哈哈，这个死循环听起来莫名搞笑老了。

[uuhhme]

设置限额吧，安全一点。比如每个月最多多少，支付宝那里可以设置。也可以弄礼品卡充值，不用支付宝

[xiaoxixi]

建议小红书去找找看退款的帖子学一下，因为那边被骗的更多

[Pastech]

小绿书上还有人分享了个案例，差不多也算是 App Store 盗刷。
在 Safari 里面点了一个几分钱还是几毛钱购买几天会员的链接，然后跳转到支付宝的绑定 App Store 界面。结果谁能想到绑定的竟然是骗子的苹果账号，骗子就一次大几百地消费了好几单。

[cskeleton]

看起来“不是银行卡啥的就没注意”这个“银行卡”概念要推广到所有能直接银行卡快捷支付的情形。

其实我不太理解支付宝的免密支付，毕竟现在生物识别的支付方式已经很便捷了，免密支付并没有省事太多。从用户角度来说，几乎没好处的事情。

[yvkino]

这种情况支付宝的账户险能赔吗

[leega0]

@yvkino 以前能赔，现在不能赔了，已经写了免责且不可勾选免密支付的交易记录。