移动ID频繁被盗，苹果安全百密一疏？

请注意！假如您的苹果手机与支付宝免密交易系统绑定，则有可能存在帐户被盗的危险。

最近，许多苹果手机用户通过小红书等多种渠道反馈，他们的苹果ID被盗，然后他们的苹果ID绑定的支付宝免密账户被用于多种类型的在线消费。

根据不完全统计，多个客户造成的人均财产损失达到数千元。「 商业秀」搜索黑猫投诉中的“苹果偷刷”，共有4536条相关投诉。

而且在小红书上，被盗经验分享帖和钱追回分享帖也屡见不鲜。

在一些被盗用户的微信群里，有人说这是一种从未遇到过的新的诈骗方式；有人说这可能涉及到苹果安全的技术漏洞。

这些频繁发生的苹果手机ID“被盗事件”是怎么发生的？谁应该负责？除了报警，等着收回钱。苹果用户应该如何预防？

生疏客户加入家庭帐户

清晨被盗刷了十几笔

十一月十三日晚上，在深圳工作的小亚(化名)收到一条短信，短信提示小亚的Apple账户出现异常，需要点击链接打开双重验证。

据小亚对「商业秀」回忆一下，这是苹果官网的一个高度复制的网站，细节和苹果官网没什么区别，上面有小亚的苹果ID，需要小亚输入密码进行验证，在小亚输入密码后显示验证通过。

奇怪的是，11月17日上午，小亚起床后发现自己的帐户被盗了近3000元。

事件发生时，小亚立即报警，在与警方的共同整理中，事件的全景似乎显露出水面：

凌晨4点28分，一个名为“向俊权”的账号加入了小亚的“苹果家庭账号”，消费了13个名为《米尔传奇》的游戏，共计2880元。这时，小亚银行发现异常，锁定了他的银行账户，因为很多消费都是类似的额度。随后，4点46分，“向俊权”立即退出小亚家庭账户，然后抹去了他所有的痕迹。

所以，“向俊权”是如何参与小亚的家庭帐户的呢？

11月13日下午，小亚打开自己的iCloud邮箱发现，他收到一封提醒，一个海外号码加入了“双重验证安全手机范围”。

小亚告知「商业秀」，“iCloud邮箱不常用。在被盗之前，我没有看到这封邮件。”因此，他判断是这个可靠的手机号码帮助“向俊权”加入了他的账户。

报警后，小亚还在小红书上分享了自己被盗的经历。有很多消息。最近有很多类似经历的受害者，大部分都发生在广东。

巧合的是，汕头的标志(化名)被告知「商业秀」，11月13日下午，她还收到了一条1069年初的短信，要求她进行苹果账户认证。

在网站上输入苹果账号和密码后，标记还进行了二次验证。直到11月17日凌晨4点，一个名为“刘静波”的ID才进入标记的家庭账户，共消费了17笔，其中328元的消费用于《米尔传奇》游戏的充值，还有几笔小额消费用于Aautorapper充值。由于银行余额不足，标记的花坛额度甚至开始扣除。

当时标志立刻发现了消费异常，但让标志无能为力的是，他不知道这种偷窃行为是什么原因造成的。他不得不逐一解除账户，关闭自己的无密支付，并将“刘静波”排除在家庭客户之外。

和小亚一样，标志也点击了一个“诈骗网站”，苹果ID也开通了支付宝免密支付。不同的是，标志性手机没有其他可靠的手机账户。

目前，苹果正在投诉退款，但第一次投诉失败。看了小红书的很多分享帖，标志说:“投诉的机会只有两次，大部分人两次投诉都没有成功。现在我尝试过黑猫投诉和315，但我觉得恢复的概率不大。”

款项追回难

谁该负责？

事实上，早在2018年10月，就有来自全国各地的苹果手机用户报告称，他们在苹果支付上遭遇了偷窃事件。当时，据多家媒体报道，被盗人数超过700人。

「商业秀」搜索黑猫投诉时，发现有4536条关于苹果偷窃的投诉。今年8月，许多被盗受害者也出现在小红书。他们的经历大多与小亚和标志相似。他们都是通过诈骗网站获取用户的账号和密码，这些用户也绑定了支付宝免密交易。而且多发生在凌晨，在大多数人已经睡着的时候，一个生疏的顾客开始加入受害者的家庭用户，偷刷打开。

许多受害者在小红书中表示，他们被盗的资金去向不同，有些用于王者荣耀。、在游戏中购买游戏货币，如《热血传奇》，其中一些用于快手、抖音等软件充值。

在一些案例分析中，有用户表示，未抹去账号信息但丢失的手机设备也可能被盗，也可能被“二次盗窃”。而且这些被二次偷走的用户在更改账号密码后可能会再次被偷走。

他们交流总结，发现背后的流程有多相似:客户的账户在不知情的情况下被绑定为“可靠的联系电话”。通过这个“可靠的联系电话”，骗子可以再次操作他们的账户。

盗窃发生后，追回资金成了最大的难题。现在，许多受害者首选报警。根据「商业秀」据了解，很多报警的受害者也表示，他们不太可能知道收回钱；也有客户联系游戏公司进行最终付款流动，但即使游戏公司配合，也很难找到。

一位被盗到游戏《三国:决定世界》中充值的用户表示，联系公司客服后，他得到了反馈，如果警察联系他们，他们会合作。

标标则告知「商业秀」，“我从来没有下载过《米尔传奇》这个游戏，也联系不上那家公司。自从我删除了‘刘静波’这个账户，我就再也找不到具体的消费信息了。怎么才能拿回来？”

最终，许多被盗的苹果用户把矛头指向了苹果。小亚告知「商业秀」，“我不知道。如果一个人加入你的家庭账户，他有权利使用我绑定支付宝免密功能的苹果支付账户，在苹果商店消费。在别人加入我的苹果家庭用户的过程中，苹果不需要再次获得我的授权吗？”

而且由于别人遭遇的“二次偷刷”经历，现在即使标准改变了自己的苹果账号密码，仍然解除了自己苹果手机上的所有银行卡。

“我不明白为什么家庭共享可以不经同意直接加入，而且可以进行资金操作，”他提出了和小亚一样的问题。

对于家庭账户这个问题，「商业秀」打电话给苹果客服。苹果客服表示，如果客户开通了iMessages功能，当有人获得帐户密码时，可以通过登录帐户，发送iMessages信息，邀请他人加入自己的家庭用户，在此过程中，无需二次授权。

苹果客户服务人员表示，面对众多客户遭遇盗刷问题，建议遭受此类情况的用户可以报警，提高安全意识。

而且苹果原本是为了方便顾客的家庭群聊功能，成了这次偷刷的漏洞。对于这一点，「商业秀」询问安全专家后，对方表示:“这应该是社会工作者攻击(社会工程欺诈，包括钓鱼攻击信息、虚假支持电话和其他欺诈)。简单来说，这是利用用户互动过程中的一些漏洞，而不是对苹果系统本身的安全技术攻击。”

同时，安全专家表示，苹果在这个过程中也有一些错误。苹果认为这些风险不会被使用，或者经过一两次简单的安全验证后会被释放，但实际上，这些漏洞在使用黑灰产品后会被放大。

他指出，苹果必须对此负有一定的责任。至少盗窃事件发生后，首先，作为平台方，应该迅速响应并制止；其次，要履行告知义务，客户的账户要经过多次验证，尽可能保护苹果用户的账户安全。

李亚告诉北京市中文律师事务所合伙人。「商业秀」，“客户需要检查这个网站的真实性。类似的短信要谨慎打开，支付指令要谨慎。苹果在产品设计上不是‘合规不合规’的问题，只能说可能有一些缺陷。”

对于已经被盗的用户，李亚建议:“第一时间一定要报警；其次，相应的人员还是要和苹果沟通，说明自己被盗的原因，并告知苹果，建议他们是否要对客户的损失承担相应的责任。如果很多客户有类似的情况，联系了苹果却没有改善，用户可以向相关监管机构反映出来。”

(根据受访者的要求，本文中的小亚、标准等均为化名)

本文来自微信微信官方账号“商业秀”，作者：商业秀大消费组，36氪经授权发布。

本文仅代表作者观点，版权归原创者所有，如需转载请在文中注明来源及作者名字。

免责声明：本文系转载编辑文章，仅作分享之用。如分享内容、图片侵犯到您的版权或非授权发布，请及时与我们联系进行审核处理或删除，您可以发送材料至邮箱：service@tojoy.com