(電子商務研究中心訊) 移動支付的便捷和高收益如“華爾街之狼”般誘人，但對“孩子”——資金安全的擔心也是人們嘗試移動支付的最大心理障礙，那么，移動支付到底安全不安全，“狼和孩子”可不可以兼得？以下本人以信息安全行業(yè)從業(yè)人員的親身體驗試用微信支付，對個人隱私保護、安全體驗和安全性能進行全面摸底，希望能給讀者們一些啟示。
春節(jié)期間微信推出了“搶紅包”，身邊的好多人都玩瘋了，在3.8婦女節(jié)的時候身邊還有好多人通過微信發(fā)紅包。通過“搶紅包”，微信迅速的吸引了大量用戶綁定銀行卡，據(jù)說綁定量達到了3000萬。不管數(shù)據(jù)是真是假，但身邊參與的人的確不少，媒體新聞是鋪天蓋地，影響力也相當大。
本人也參與到了這場“搶紅包”的游戲中，為了玩“搶紅包”也被迫綁定了銀行卡搶紅包、發(fā)放紅包。但在high過后，微博里零星的有人開始討論起微信支付的安全問題。
其實在微信版余額寶“理財通”推出期間，由于收益略比余額寶略高，身邊就有同事朋友蠢蠢欲動想把錢轉移到“理財通”，但由于是新興產(chǎn)品擔心微信的安全性沒敢進行資金轉移。
移動支付產(chǎn)品的安全需求，畢竟是用戶的基本需求，于是本人抱著學習和研究的態(tài)度去測試和體驗了一下微信支付的相關功能，以下是本人使用過程的安全體驗。
一、微信的登錄認證的安全體驗
微信支付是建立在微信之上的功能，安全性和微信本身的安全密切相關。于是本人首先對微信的登錄認證機制進行了測試。
1)用戶默認保存登錄信息
微信為提升用戶的登錄體驗，客戶端默認是保存登錄認證信息的，也就是說如果你登錄微信后，沒有進行退出操作，每次打開微信就能自動登錄。因此如果有人獲取到您的手機，就可以直接使用微信。有人會說“我的手機設置了密碼別人拿了也用不了”。那我告訴你，如果你用的是Android手機隨便下個軟件幾秒鐘就能破解鎖屏密碼。如果你用的是“愛瘋手機”且越獄了那和Android沒多大區(qū)別，下個軟件也是幾秒鐘的事情。有人說我沒越獄那總安全了吧？我只能說不一定，網(wǎng)上看了一下有相關軟件能實施暴力破解，只是多花點時間，本人沒進行嘗試，感興趣的同學可以做個測試。
2)用戶手機號與微信綁定
有的用戶說“我使用習慣非常好，每次使用微信后都會退出”。那么，我們接著分析。微信登錄和注冊時，默認首選的是“手機號碼”，這應該是微信刻意引導用戶使用手機號碼進行注冊，以簡化注冊成本，并能通過用戶手機通訊錄進行好友推送(本人也是因此暴露了自己的微信小號，眾多聯(lián)系人通過微信推送加我好友)。大多數(shù)的用戶的確都乖乖的通過手機號碼注冊使用微信了。在這里就產(chǎn)生了一個問題，如果手機丟失、手機號碼棄用、非正常途徑補辦卡、SIM卡復制、短信劫持等都會對微信安全造成威脅。因為可以通過短信驗證取回登錄密碼，同時微信還存在一種登錄方式“短信驗證碼登錄”，用戶可以通過手機短信驗證的方式進行登錄。
通過其它方式(如QQ號碼)登錄微信的，在使用過程中一不小心被微信勾搭綁定了手機號碼，也就可以直接通過手機號碼進行登錄。這時就可以使用手機號碼通過短信驗證方式登錄。
用戶能做到隨時退出微信，又不是手機號碼注冊，且沒綁定手機號碼，估計還是挺少的。
3)微信登錄認證方式總結
在微信的“設置-我的帳號”中有個奇葩功能“獨立密碼”，如果你是使用QQ號登錄的，你就可以為微信設置一個“獨立密碼”，這樣登錄微信既可以使用原來QQ的口令登錄，也可以使用獨立口令登錄，這是要提升用戶的體驗嗎？沒太理解產(chǎn)品經(jīng)理的意圖。反而增加了帳號的風險，用戶需要確保兩個口令的安全，攻擊者如果通過某種途徑獲取到一個口令就可以登錄微信。
微信為防止盜號，對新客戶端使用做了限制，如果是新客戶端首次登錄，輸入口令后還需判斷識別2位自己的微信好友頭像方可登錄。但如果盜號者盜取了其QQ號碼，通常QQ好友信息和微信類似，多猜幾次基本能猜中。另外如果QQ用戶還沒有登錄過微信或微信好友低于2位則直接可進行登錄，繞過該控制，對于那些QQ號沒激活微信的就可以直接登錄。
同時微信還有一個“綁定手機號”的功能，如果綁定手機號，則每次登錄都需要短信驗證，這個對于盜號還是能起到比較好的防御作用的，在測試過程中發(fā)現(xiàn)了微信的又一個流氓行為，即使不勾選“通過手機號搜索到我”，但還是把我的手機號推送給我的通訊錄好友，存在欺騙用戶的情況。部分用戶為了自己的隱私可能就不會開啟該功能。
本人把微信登錄時的認證方式整理了一下，如下：
二、支付模塊登錄認證安全體驗
1)缺少隱私安全問題
微信支付的相關功能都在“我的銀行卡”功能模塊中，模塊中涉及這個模塊雖然是和支付相關的模塊，但并不支持設置單獨的口令，同時也沒有類似手勢密碼的功能。如果用戶已經(jīng)綁定銀行卡，且使用了“理財通”等產(chǎn)品，用戶登錄微信后就可直接查看到其相關交易信息和資產(chǎn)狀況。例如某人要是剛入手了一個新款手機肯定有眾多粉絲會要求拿過去耍一耍，這時一不小心你私房錢“理財通的資產(chǎn)”就泄露了，要是有網(wǎng)上購買情趣用品習慣的人可就糗大了。迅雷、百度云盤都支持手勢密碼和單獨口令，微信做為即時通訊軟件又附帶支付功能，隱私信息眾多，為嘛就不考慮一下呢？隨著微信接入商的增多，敏感信息必然越來越多，強烈建議微信添加一個手勢密碼。
2)綁定銀行卡強制記錄個人信息
微信在綁定銀行卡時，如果是首次綁定，需設置支付密碼。如果已綁定或曾綁定過銀行卡，則添加新的銀行卡需先輸入支付密碼后方可進行綁定操作。信用卡和儲蓄卡兩類卡都可進行綁定，但需提供的信息稍有不同。儲蓄卡綁定，需提供持卡人姓名、身份證號、卡號、預留手機號碼、短信驗證碼。信用卡綁定，不同銀行的需提供的信息略有不同，大多數(shù)卡需提供持卡人姓名、身份證號、卡號、信用卡有效期、安全碼、預留手機號碼和短信驗證碼等信息。
【儲蓄卡綁定】【信用卡綁定】
首次成功綁定銀行卡后，你的姓名、身份證號就會被微信記錄，且與該微信帳號綁定不能更改。首次綁定有點類似實名認證，為鼓勵用戶綁定銀行卡，在綁定過程中微信并未進行相關提示和告知，此做法導致眾多人賬號錯誤的被綁定了非本人的個人信息，且不能更改(騰訊客戶回復暫時不提供更改服務)。
3)支付密碼的安全問題
由于微信支付模塊不支持設置單獨的口令，也沒有類似手勢密碼的功能。用戶在進行支付時，輸入支付密碼后即可完成支付，這時支付密碼的安全就變成了最后的一關。
【口令強度】用戶的支付密碼是在首次綁定銀行卡時提示設置的，且口令只能設置為6位數(shù)字，復雜度較低，用戶需注意窺視、口令猜解等風險，特別是有將口令設置成簡單數(shù)字、電話號碼、生日等弱口令的用戶。
【口令修改】用戶修改支付密碼有兩種途徑，一是輸入原密碼，二是重新綁定銀行卡修改支付密碼。
重新綁定銀行卡需姓名、身份證號、卡號、預留手機號碼、短信驗證碼等信息。因此如果用戶的手機丟失而短信、照片、聊天記錄中剛好留存相關個人信息，或者用戶身份證、銀行卡、手機同時丟失，則存在支付密碼被重置的可能?，F(xiàn)在現(xiàn)在手機已經(jīng)做為日常溝通的首要工具，用戶難免會在微信、QQ、短信等使用過程中提及身份證、銀卡號登信息，例如匯款、購買機票/火車票等等所以該風險是確實存在的。
三、微信釣魚和詐騙
微信做為手機端軟件，大家很多在電腦上養(yǎng)成的安全習慣，到了移動端又突然消失了，用于對于盜號詐騙、釣魚鏈接等防范意識相對較低。在搶紅包期間偽造的微信紅包讓很多人撲了個空，但要如果是惡意鏈接，則將是一大片人中招，微信需在這方面加強相應的安全措施和用戶教育。
四、關于賠償
微信與中國人保財險(PICC)達成合作，并拋出“你敢付，我敢賠”的口號，我看了一下微信支付的兩個聲明條款，具體的大家自己解讀吧。
五、結束語
雖然微信的賬號控制存在一些問題，但是用戶如果能夠保管好自己的手機，保護好賬號口令以及取回密碼所依賴的措施，同時保持良好的安全意識，總體來說微信還是比較安全的。
對于安全意識和安全習慣，以下是筆者的一些小建議供參考：
1.為微信設置強健的口令，同時注意QQ的賬號安全；
2.手機中不存儲個人信息，日常生活中注意不泄露自己的個人信息；
3.為手機設置解鎖口令，不隨意將手機借用他人；
4.保管好自己的手機，防止丟失，丟失手機第一時間掛失SIM卡，鎖定賬號，如有必要設置PIN密碼；
5.不在微信輕易點擊陌生人發(fā)送的鏈接，防止釣魚；
6.不隨意ROOT和越獄，注意辨別山寨App，不安裝來源不明的App；
7.安裝必要的防病毒等安全軟件。（來源：推酷 編選：網(wǎng)經(jīng)社）
