二维码与第三方支付平台安全

摘 要：随着二维码的广泛应用,通过扫描二维码下载手机程序成为快捷的下载手段.第三方支付平台通过短信验证码的方式来重置给支付平台的安全带来了严重的隐患.通过对二维码、手机木马、第三方支付平台重置过程的分析,给出了支付平台被盗用的过程和防范措施.

关 键 词 ：二维码；手机木马；第三方支付

中图分类号：TP311.52

2013年11月,江苏开网店的汪女生扫描了客户发过来的二维码之后,支付宝中的资金被盗用,造成了18万元的经济损失.我们不禁要问,一个小小的二维码,何以造成支付宝被盗用?其中的缘由到底是什么呢?

1.关于二维码

二维码[1]（2-dimensional bar code）,又称二维条码,最早起源于日本,它是用特定的几何、图形按一定规律在平面（二维方向）上分布的黑白相间的图形,是所有信息数据的一把钥匙.我们现在网络上常见的码制是QR_CODE.二维码的制作非常简单,我们可以在百度上搜索二维码在线生成,就可以将文本信息、、文件、手机程序的下载地址、图片等制作成二维码.Android手机平台下的程序安装包后缀为apk,图1为用安卓手机软件“正点日历”的下载地址http：//cdn.market.hiapk./data/upload//2013/12_18/16/.zdworks.android.zdcalendar_163835.apk制作的二维码.通过手机二维码扫描软件扫描后会自动出现下载页面,提示用户下载.

图1

二维码只是信息的一种编码方式,从原理上讲,其本身并不包含病毒,但可以将钓鱼网站的或恶意手机程序的下载地址制作成二维码诱骗手机用户扫描,从而达到非法目的.

2.手机木马-验证码大盗[2]

金山毒霸安全中心发现,受害者资金被盗之前,大多有使用安卓手机扫描二维码,或者使用安卓手机接收、安装不明apk文件的经历,这些二维码或apk文件中隐藏了一种新型的,它能够拦截受害者手机短信中有关网银或第三方支付网站发送的验证码等关键信息,通过短信或转发给不法分子,而受害者却毫无察觉.金山毒霸将这类病毒取名为“验证码大盗”.

360手机卫士和网秦日前也分别截获名为“隐身大盗”和“窥私大盗”的手机木马变种,这类木马启动后会自动隐藏图标,并伪装成系统应用在后台偷偷运行,窃取手机系统信息、通讯录、短信等发送给,重点窃取网银支付等验证短信,直接威胁受害者网银和网上支付安全.

3.第三方支付的重置

第三方支付平台,例如淘宝、支付宝[3]等给网上购物带来了极大的便利,但第三方支付平台的重置功能给不法分子带来了可乘之机.图2为支付宝的登录界面,登录名为用户手机号或者.下面有“忘记登录?”的链接.

图2

点击“忘记登录?”的链接后进入下面的页面.

图3

输入用户手机和验证码后,点击“下一步”,进入下面的页面.

图4

点击“立即找回”进入下面的页面.

图5

点击“点此免费获取”按钮后,支付宝平台就会发给手机一个含有验证码的短信,通过输入验证码和后就可以在忘记登录的情况下重置登录了.通过上面对支付宝平台重置的过程分析,我们看到支付平台的安全关键就在于用户手机上获得的验证码短信,而手机和号这些信息很容易泄露.支付宝的支付同样可以通过上述方法进行重置.而淘宝账户的重置只需要手机短信中的验证码,连都不用输入.

4.盗刷流程分析

不法分子首先通过诱骗手机用户扫描二维码来达到在用户手机上安装“验证码大盗”手机木马的目的,然后通过第三方支付平台的重置功能试图重置用户的登录和支付,在这期间,用户手机上的木马程序会把收到的验证码短信转发到不法分子的手机上,不法分子输入验证码即可重置登录,用相同的流程重置支付,至此,不法分子就接管了用户的网上支付功能.

5.安全防范措施

从以上的分析可见,第三方支付平台重置功能安全的关键是用户的信息、、短信验证码信息.所以应从以下几方面来加强安全防范[4]：（1）个人信息的保密,包括手机、、等.（2）不要轻易扫描陌生人发过来的二维码进行手机软件安装,不从个人站点下载安装手机程序.（3）安装手机安全软件,例如360手机安全卫士、金山手机毒霸、腾讯手机管家等,对不明和软件进行安全检测.

6.结束语

二维码的广泛应用给手机用户带来便利的同时,也给不法分子可乘之机.我们在使用手机扫码的时候要提高安全意识,安装手机安全软件帮助我们拦截手机木马程序.同时在使用第三方支付的时候更要提高警惕,注意个人信息的保密,确保资金安全.