华商报/华商网1月10日讯（记者方亚楠）1月10日凌晨，有网友惊奇地发现，支付宝甚至不用输入原密码，只要有手机，就可以修改别人的密码。被篡改者的电话号码。能。

据该网友介绍，支付宝漏洞原理如下：登录支付宝APP——选择“忘记密码”——选择“手机不在身边”——然后支付宝会要求你选择“淘宝买的东西”（9张图）选择1）-“你可能认识的人”（从9个朋友中选择1个）-如果选对了，就可以重置密码，成功率较高。这无疑对广大支付宝用户的财产安全构成了相当大的威胁。

支付宝立即回应：“为了更好增强用户的安全感，今天上午收到网友反馈后，我们进一步提升了风控系统的安全级别。”

它在一份官方声明中表示，这种方法只有在某些情况下才可能实现。一般情况下，用户至少需要输入手机短信验证码才能找回登录密码。对于一些暂时无法接收短信或者更换了移动设备的用户，支付宝的风控系统会首先进行评估（如账户信息的完整性、网络环境等因素）。当安全系数较高时，用户会被要求回答一系列安全问题。只有回答正确后才能更改登录密码。

支付宝还表示，该策略只能找回登录密码，而无法仅通过回答安全问题来找回支付密码。并且一旦用户的支付宝在其他设备上登录，个人设备就会收到通知提醒。

上午11点左右，华商报记者登录支付宝进行实验。找回登录密码的方式变更为“刷脸验证”、“验证银行卡信息”、“拨打验证电话”。据支付宝介绍，目前只有在用户自己的手机上，可以通过识别最近购买的商品和识别自己的好友来找回登录密码。该方法无法通过其他移动设备找回登录密码。

这让记者想起不久前支付宝刚刚经历过AR红包漏洞。

2016年12月，支付宝在新版本中推出了AR红包玩法，这是一款基于高德LBS位置信息和AR场景应用的AR红包。不过，后来网友发现了漏洞，通过PS技术获得了红包。针对现有的漏洞，支付宝官方在微博发布称，对AR红包的产品技术进行了升级。扫描他人屏幕线索领取红包的概率进一步降低至千分之几。通过PS抢红包的概率也降低了。明显减少。

因此，记者通过“考古”发现，支付宝出现了漏洞：例如，2016年5月，有人曝光了支付宝APP的转账漏洞：通过支付宝转账时，即使输入错误的账号，也会退款到原账户，转账处理页面仍会显示“支付成功”的信息。这其实和上面的银行短信提醒漏洞类似。

后来支付宝堵住了这个漏洞。发起转账后，将原界面的“付款成功”改为“申请已提交”，将“银行正在处理”改为“等待银行处理”，同时在下方添加醒目的温馨提示：本页面不提供服务作为转账成功的证明，以银行实际入账为准。

2015年10月，一则关于支付宝实名认证漏洞的消息引起轩然大波：一名网友称，他的实名认证信息下多了5个未知账户。支付宝随后回应称，如果发现支付宝实名认证账户下存在其他关联账户，是因为账户持有人泄露了身份证等个人隐私信息，导致关联认证，子账户无法通过身份验证进行借款。

2014年2月，淘宝、支付宝认证被曝存在安全漏洞。黑客可以简单地利用该漏洞登录他人的淘宝/支付宝账户进行操作。危害程度很高。

未来，支付宝用户应如何规避因系统漏洞可能引发的财产风险？您可以设置更难的密保问题，或者降低花呗限额。当您发现支付宝被盗的迹象时，您可以立即挂失：进入“我的”-“设置”-“安全中心”-“急救包”选择“快速挂失”。挂失后，“资金无法进出，无人登录”。