原標(biāo)題：蘋果用戶被誰“咬”了一口

躺在寢室和室友聊著天，蘋果手機就在眼皮子底下隔空“消費”了自己銀行卡內(nèi)的幾大千。

最近，像成都市民小陳一樣遭受莫名損失的蘋果手機用戶不在少數(shù)。眾多蘋果用戶反映，在自己不知情的情況下，蘋果ID購買了多項App Store內(nèi)容，造成的損失在幾百到幾千不等。目前，已有一些受害者稱已收到蘋果公司的部分退款。

一向以安全自稱的蘋果手機，為何會出現(xiàn)如此大規(guī)模的ID被盜事件?

隱患

免密支付權(quán)限

App Store自動續(xù)費服務(wù) 錢去哪了

被盜刷的錢大都用來購買了風(fēng)之大陸、魔域手游等相關(guān)的游戲產(chǎn)品。這是利用免密支付業(yè)務(wù)，盜竊錢財購買虛擬商品，進行套現(xiàn)的違法犯罪行為，專家表示，“這種行為就是銷贓。”

漏洞在哪

Apple ID以前只能通過電子郵箱進行申請。很多用戶為了方便記憶，習(xí)慣將所有密碼設(shè)置為同一個，就會讓非法用戶通過獲取電子郵箱密碼進行撞庫，從而碰撞出Apple ID賬號以及密碼。

如何防范

“除了解除免密支付外，還可以對Apple ID設(shè)置兩步驗證。”安全專家表示，此外，簽約充值賬戶設(shè)置限額設(shè)置不同密碼，新注冊Apple ID最好采用手機號進行注冊。

匪夷所思

聊天時手機被盜刷近5000元

9日下午7點50分左右，成都市民小陳正躺在寢室和室友聊著天，她的蘋果手機卻收到了支付寶發(fā)來的消費短信提示，顯示小陳的支付寶賬戶在App Store&Apple Music成功付款1000元，隨后其又連續(xù)收到了支付寶發(fā)來的付款信息。“從7點50分到54分，短短4分鐘時間，我的銀行卡被盜刷了4922元!”小陳在接受記者采訪時表示，自己當(dāng)時專心和室友聊天，并沒有從App Store中購買商品。但銀行卡卻為蘋果ID充了值，并通過蘋果ID購買了游戲產(chǎn)品。

小陳出示的蘋果商店的充值、購買記錄顯示，其被盜刷的資金用于購買了王者榮耀1180、6480點券等產(chǎn)品，每次交易金額分118元、648元不等，這一共花去2630元，其余的2292則被充值到她的Apple ID中。

小陳告訴記者，她隨后就聯(lián)系了蘋果公司，蘋果公司說三天內(nèi)會發(fā)郵件回復(fù)她，截至記者發(fā)稿，“我還沒有等到蘋果的回復(fù)郵件。”

在小陳遭遇此事的前一天，成都某中學(xué)的學(xué)生小磊有同樣經(jīng)歷。小磊告訴記者，8日下午時分，他的蘋果手機連續(xù)收到了10條左右在App Store&Apple Music的消費提示短信，大多每筆消費金額都為648元，短短幾分鐘之內(nèi)，“銀行卡內(nèi)的5832元都用來購買了風(fēng)之大陸、魔域手游等相關(guān)的游戲產(chǎn)品。”當(dāng)天下午，小磊就聯(lián)系了蘋果、微信的官方客服，并在微信錢包的“微信支付百萬保障”功能下進行了申訴。

波及全國

部分受害者稱已收到退款

近日，像小陳、小磊一樣遭盜刷的蘋果手機用戶越來越多，這些受害者建立了QQ群。小磊告訴記者，QQ一群已經(jīng)500人滿員，而QQ二群不斷有8、9日被盜刷的受害者進群，截至10日下午6點，二群成員已達87人。而先前的媒體報道稱，受害者已經(jīng)超過700人。

記者在“蘋果ID被刷處理2群”中看到，盜刷事件的受害者分布在四川、吉林、上海、江蘇、山東、廣東等多個地區(qū)。用戶被盜刷的金額多用于購買王者榮耀、大天使之劍H5、魔力寶貝、上古戰(zhàn)紀(jì)、奇跡覺醒等游戲產(chǎn)品，被盜刷金額為1000余元到6000余元不等。

與媒體之前報道的“蘋果僅表示‘同情’，無法退款”的情況不同的是，記者看到“蘋果ID被刷處理2群”中已經(jīng)有多名受害者表示自己的退款申請已經(jīng)在“處理中”“待處理”。小磊告訴記者，他在10日下午3點多收到了蘋果的回復(fù)郵件，告知他蘋果已經(jīng)審核了他的案例，并針對相關(guān)購買項目為他發(fā)放了退款。此外，為了防止日后繼續(xù)出現(xiàn)未經(jīng)授權(quán)的交易，蘋果已經(jīng)停用了小磊的賬戶。一名吉林的蘋果手機用戶也表示，自己前幾日被盜刷了2592元，目前已經(jīng)追回了648元，還有1944元沒有眉目;一名山東用戶被盜刷1000余元，目前蘋果已退款278元。

記者就蘋果ID被盜刷事件聯(lián)系蘋果方面工作人員，截至發(fā)稿未獲對方回復(fù)。

風(fēng)險防范

關(guān)閉免密支付、開啟雙重認證

“除了解除免密支付外，還可以對Apple ID設(shè)置兩步驗證。”安全專家、成都云云科技有限公司技術(shù)總監(jiān)范毅表示，此外，簽約充值賬戶設(shè)置限額設(shè)置不同密碼、盡量別使用真實QQ號郵箱、在QQ郵箱中設(shè)置一個別名，利用別名郵箱進行注冊及登錄都能幫助降低風(fēng)險。“以后新注冊Apple ID最好采用手機號進行注冊。”

10日，支付寶工作人員告訴記者，支付寶已經(jīng)多次聯(lián)系蘋果公司并推動其盡快定位被盜原因，提升安全防范水平，并徹底解決用戶權(quán)益損失的問題。

支付寶方面還表示，用戶可以在支付寶App里，點擊我的>設(shè)置>支付額度>免密支付/自動扣款>App Store，Apple Music&iCloud>安全月額度設(shè)置符合自己的安全預(yù)期的月度限額。

微信方面在接受記者采訪時也表示，微信支付已積極聯(lián)系蘋果公司，了解問題解決進展。建議用戶通過開啟Apple ID雙重認證，定期更換密碼等方式加強對Apple ID的安全保護，提升對Apple ID綁定的支付方式的管理，降低被盜刷的風(fēng)險。

多名用戶表示，盜刷事件爆發(fā)后，均已取消了支付寶、微信支付對蘋果手機的免密支付權(quán)限，并在App Store中關(guān)閉了正在訂閱的自動續(xù)費服務(wù)。

特 別 視 線

安卓為何逃過一劫

專家：軟件生態(tài)決定盜用蘋果ID價值更大

目前安卓手機沒有出現(xiàn)類似ID被盜刷的問題。為什么安卓手機用戶逃過一劫?

范毅表示，近兩年，國內(nèi)免費電子郵箱服務(wù)提供商偶爾會出現(xiàn)用戶信息泄露的問題，而Apple ID以前只能通過電子郵箱進行申請。加上很多用戶為了方便記憶，習(xí)慣將所有密碼設(shè)置為同一個，就會讓非法用戶通過獲取到的電子郵箱名以及密碼進行撞庫從而碰撞出Apple ID賬號以及密碼。而“國內(nèi)安卓系統(tǒng)手機的默認ID是利用手機號進行登記的，在設(shè)置ID或登錄時必須要短信驗證，因此也導(dǎo)致破解難度較高。”

范毅說，事實上Apple也啟用了兩步驗證，利用短信或者受信任設(shè)備進行登錄，但目前很多用戶仍舊習(xí)慣使用Apple ID加密碼的非安全組合。

在Apple上進行任何充值業(yè)務(wù)都必須要借助Apple Store，而安卓系統(tǒng)的應(yīng)用商店基本只提供App下載，充值繳費并不通過應(yīng)用商店，“兩種軟件不同的生態(tài)圈，也使得盜竊Apple ID 的價值比起盜竊安卓手機ID的價值要更大。”范毅表示。

事實上，自2016年起，網(wǎng)上就有關(guān)于利用Apple的充值功能進行盜刷的新聞，往年以以盜刷銀行卡居多。這是利用免密支付業(yè)務(wù)，盜竊錢財購買虛擬商品，進行套現(xiàn)的違法犯罪行為，范毅表示，“這種行為就是銷贓。”