风险警告:支付宝流程设计存在安全缺陷,会导致跨域攻击,咸鱼/淘宝交易慎扫不明二维码

受害者链接: https://zhuanlan.zhihu.com/p/625230704

复现视频: https://drive.google.com/file/d/1EiWOBWf6Uo3qp7eoKIVGGNUz8YhLbQQT/view?usp=share_link

闲鱼新骗局,大家闲鱼捡漏一定注意,不要被骗了,必看,必看,必看完,说三遍。

1.卖家挂的商品属于真香价格,吸引你购买,并且要求到付

2.你拍下之后和你正常友好沟通,你觉得卖家是个好老哥

3.你的好老哥发来一个二维码,告知需要扫码获得免费的价保,或者是告诉你扫码支付运费新人可能是零元

4.你扫码之后发现是闲鱼链接到支付宝的页面,看起来很正规,于是放松警惕点击立即支付。

5.你支付之后,你会发现你刚拍下的商品已确认收货,吃了个大亏,叫天不应叫地不灵,回群里被大家当成笑柄。

总结:闲鱼卖家发一个让你支付运费或者保价的码,大家都别扫,扫了就直接确认收货被骗,大家眼睛擦亮一点。

在官方修复前(距问题发现已一周多),目前能想到的缓解措施如下:

  1. 避免扫难以确认安全性的二维码,尤其是在网购交易过程中
  2. 关闭人脸支付,避免扫到问题二维码后,无交互式的直接确认了
  3. 关闭小额免密支付
Hello World
Hello World