Re: [新聞] 日本7-11行動支付App「7pay」900人遭盜用　駭客狂刷1600萬

看板MobilePay作者 (一起加油)時間5年前 (2019/07/06 03:26), 編輯推噓4(4推 0噓 17→)
留言21則, 9人參與, 5年前最新討論串3/3 (看更多)
我想說的東西比較無關電子支付， 不過台灣小七的APP "openpoint"有電子錢包功能 其實也算有點影響 最近因為門市在推動會員新制， 很多人在小七，應該常會聽見店員問"請問有會員嗎?" 本人身為店員的經驗 幾乎有七八成的客人會說"沒有" 但其實這些人很可能已經是會員了，只是自己不知道 (我後來改變話術，客人說沒有或疑惑時，我直接請他提供手機號碼輸入看看，還真的有) 小七的會員制其實從很久以前就已經有了 最早大概是icash晶片卡開始，晶片卡(非感應，要插卡的那種)有累積紅利功能 但當時紅利點數都是跟著卡片 如果你有兩張icash晶片卡，這兩張的紅利點數不能合併 後來進化為感應式的icash2.0之後 以及跟銀行合作，推行聯名卡電子票證(就是銀行信用卡附帶icash) 便增加了"把多張icash卡累績的紅利合併在一起"的功能 這時候就須要一個會員帳號來歸戶 於是小七把這個紅利點數取名為openpoint 並開發一款APP來讓用戶註冊會員及歸戶卡片 此後這些紅利點數就跟著會員帳號，而不再跟著卡片 (換句話說只要歸戶過的卡片不見了，紅利點數還在，這就跟晶片卡時代不一樣) 同時間小七也有其它各種服務 大家最常用到的就是ibon列印，以及門市網路7-wifi 當時要使用7-wifi也得先申請會員 (用手機門號申請，若是小七電信就網路吃到飽，若是其它電信就有時間次數限制) 之後ibon也開發手機APP，以便使用雲端列印 於是小七便將 "紅利點數" "wifi網路" "ibon列印"這些功能 整合在"同一個用戶帳號"底下 會員制度也重新改版成"openpoint會員帳號" 原本因為紅利申請的會員帳號變動就不大，算是多了其他新功能 ibonAPP雲端列印算是啟用前就要先申請OP會員才能開始用(不然只能隨身碟印) wifi網路比較有影響，過去用手機門號登入的功能已不在，要有OP會員才能登入 所以很多人以為自己沒有小七會員 其實可能曾經因為 要用網路/要用app雲端列印/辦信用卡要領贈品咖啡(用紅利換) 早已申請過會員 但用完服務就忘了(APP砍掉) 以上都是廢話，接下來是重點XD 申請OP會員的方式:一組手機門號(當作帳號+發簡訊) 一個電子郵箱(忘記密碼時發給你) 現在還多了輸入生日(可能是忘記密碼時驗證用，早先似乎沒這一項) 輸入完畢送出申請後， 系統會把 [密碼] 用簡訊發送到你輸入的手機門號 然後你再用申請時輸入的門號(也就是你的會員帳號)+系統傳簡訊給你的 [密碼] 來登入APP 之後才能使用各種服務 像是上網啦，列印啦等等，紅利應該沒太多人會在意XD 電子錢包功能還不存在 而 [密碼] 這一項，要在你登入之後到"會員中心"去做更改 (改成自己記得住的，如同金融卡一樣，會先給你一組預設密碼自己去atm更改) 很多人只是臨時要用網路/列印而已 登入用完就算了，不會想到去改密碼 於是密碼永遠都是那個預設值，過段時間你可能連簡訊也刪掉了XD 等以後又需要用到網路/列印的時候 若是APP還在登入狀態那還好(繼續用) 若APP你也砍了or要上網有帳號(門號)卻沒密碼(跟本不記得預設值) 身為店員，我遇過好幾個這樣的情況。老實說我真的救不了你.... 同一個門號不能再重新申請一次會員，你只能另外拿別的門號申請 但因為密碼會即時發送到該門號，所以第二個門號要在手邊且收得到簡訊 (你也可以用別人的門號 然後叫他收簡訊給你密碼 但現在誰敢XD) 其實同樣的情況，也常發生在電子發票載具上面 發票載具申請時，也是把預設密碼(驗證碼)發簡訊到門號，自己登入做更改 每次要教客人怎麼歸戶卡片/設定中獎通知/設定領獎帳戶 登入時卡在驗證碼這一關，他說他不知道...你不知道我更不可能會知道啊XD 前面有人有提到，會員帳號會這麼大量被盜用(登入) 有可能就是使用者當初沒有去更改密碼 (不知道系統預設值是否這麼容易被查出來) 現在OP會員APP多了電子錢包功能，其實使用者還是謹慎一點，早早去更改密碼比較好 就算不為帳號安全，至少為了以後方便吧 曾經有次幫客人處理這類問題時，客人說，這樣真的很不方便耶 為什麼不能申請時就直接設定帳號密碼就好，還要另外給我記不住的亂碼 但我倒是覺得，初始密碼用簡訊發送給你自己改 這樣的方式倒是比較安全，也能即時確認是本人操作(手機收簡訊) 金融卡不就是這樣的機制嗎 線上刷卡也都會有這種即時發送驗證碼簡訊的機制 申請帳號時就直接設定帳號密碼那種，好像很容易淪為免洗帳號... -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 101.12.16.175 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/MobilePay/M.1562354808.A.901.html
→
07/06 08:00, 5年前 , 1F
除非使用獨立的帳號密碼 不然改成之前常用的密碼一樣有風
07/06 08:00, 1F
→
07/06 08:00, 5年前 , 2F
險 但使用獨立帳密我想超過99%的人都辦不到啊～
07/06 08:00, 2F
→
07/06 08:02, 5年前 , 3F
獨立帳密的好處 就是被駭也只有一組帳密外洩 但怎麼紀錄這
07/06 08:02, 3F
→
07/06 08:02, 5年前 , 4F
些帳密又是另一個資安學問
07/06 08:02, 4F
→
07/06 09:07, 5年前 , 5F
推
07/06 09:07, 5F
→
07/06 09:14, 5年前 , 6F
帳號密碼就是會外洩的東西管你什麼獨不獨立的 只是何時
07/06 09:14, 6F
→
07/06 09:14, 5年前 , 7F
會外洩而已 要防就是要電話簡訊驗證 app安裝後首次登入
07/06 09:14, 7F
→
07/06 09:14, 5年前 , 8F
要簡訊驗證 綁卡也要銀行簡訊認證
07/06 09:14, 8F
→
07/06 09:53, 5年前 , 9F
重點不是會不會外洩 而是遇到外洩時只有一組帳密 你懂這
07/06 09:53, 9F
→
07/06 09:53, 5年前 , 10F
個邏輯嗎？
07/06 09:53, 10F
→
07/06 09:57, 5年前 , 11F
獨立帳密當然有其必要性 因為不是每次申請帳密都會要求雙
07/06 09:57, 11F
→
07/06 09:57, 5年前 , 12F
重認證(2FA)
07/06 09:57, 12F
→
07/06 10:19, 5年前 , 13F
我是認為如果對方做不到2FA 最少最少也要簡訊認證
07/06 10:19, 13F
推
07/06 10:56, 5年前 , 14F
之前有很多網友說7-11做什麼都輸全家，其實7-11想得比
07/06 10:56, 14F
→
07/06 10:57, 5年前 , 15F
你還多，因為他們已經遇過被駭過的經驗，畢竟他們店多
07/06 10:57, 15F
→
07/06 10:57, 5年前 , 16F
會員也多，沒有想清楚就出去，是會有大災難的
07/06 10:57, 16F
推
07/06 16:48, 5年前 , 17F
icash卡如果不綁op會員 要如何查點數？
07/06 16:48, 17F
→
07/06 18:33, 5年前 , 18F
樓上 拿卡片去ibon嗶 或是請店員用收銀機查
07/06 18:33, 18F
推
07/06 20:36, 5年前 , 19F
照這個敘述我覺得7的活躍會員應該悲劇…
07/06 20:36, 19F
推
07/07 00:56, 5年前 , 20F
會員真的全家做的最好
07/07 00:56, 20F
→
07/07 12:54, 5年前 , 21F
何必幫它們洗白？
07/07 12:54, 21F
‣ 更多 lucyfia 的文章
文章代碼(AID): #1T7wHua1 (MobilePay)
‣ 更多 lucyfia 的文章
文章代碼(AID): #1T7wHua1 (MobilePay)