网曝支付宝漏洞：手机丢了，支付宝也就完了

水手

天涯论坛上爆出了支付宝的一个安全的帖子(支付宝设计业务流程的同学准备下岗吧!)大意是：手机丢了的话，支付宝账号和密码都有了。
测试场景：捡到一个手机，只要你的手机绑定了支付宝，没有银行卡身份证其他的任何东西，就通过这个手机顺利提现支付宝余额。至于支付宝的数字证书、支付密码依然是通过手机找回密码，短信验证即可。陆密码，数字证书，支付密码都被攻克了，已经把余额宝钱转出来了。
另外一个问题@iceyes汪利辉也提到：验证环境不是普遍环境，测试者是在自己机器上做的测试，经常登录的机器，支付宝识别为当前帐号可信机器，取回支付密码只需要短信验证。如果不是可信机器，网页版是需要另外提供身份证号码和银行卡号的。是不是这样，建议大家拿别人的机器试试，不带这样黑的。
来自阿里巴巴网络工程师的回复@Chass：
1.使用余额宝、快捷支付被盗造成的资金损失，支付宝都会给予全额补偿，补偿金额无上限。
2.数字证书并非是最高安全等级产品，推荐使用支付宝手机钱包中的手机宝令。
3.手机丢失也会威胁银行账户手机请设置密码，手机丢失是一种风险。但由于纯依赖手机号码权限不够，还需要验证附加密码或信息。目前纯粹因为手机丢失所发生的威胁，多数是熟人关系。需要注意的是，银行的客服也会识别来电手机号码，所以手机还是建议设置锁屏密码。