作者bignoob (有我嫩嗎)
看板MobilePay
標題Re: [新聞] 驚！Line Pay一卡通露本名業者：依循
時間Sun Sep 16 20:37:08 2018
大家都知道
LINE PAY 一卡通所免費提供的透明卡，
背面有個QR CODE，以及一卡通卡號
一卡通卡號是15碼流水序號+第16碼檢核碼
EX:
1007-0118-0000-0000
而該QR CODE記載內容，只是利用一卡通卡號所編寫的網址而已，像是這樣：
https://line.me/R/ch/ZZZZZ/?forwardPath=/c2c/transfer&no=XXXXX&type=svc
ZZZZ是一串數字，但在轉帳時不是必填項目，可以簡寫成以下網址，同樣可轉帳：
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXX&type=svc
只要把no=XXXXX改成你的透明卡卡號，就可以直接轉給你了
Q:那你會問說，又沒人會知道我的一卡通卡號，有差嗎?
A:你可以試試看把你自己的卡號第15碼減1，並嘗試把第16碼檢核碼所有可能帶入網址：
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXXXXXXXX80&type=svc
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXXXXXXXX81&type=svc
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXXXXXXXX82&type=svc
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXXXXXXXX83&type=svc
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXXXXXXXX84&type=svc
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXXXXXXXX85&type=svc
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXXXXXXXX86&type=svc
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXXXXXXXX87&type=svc
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXXXXXXXX88&type=svc
https://line.me/zh-hant/?forwardPath=/c2c/transfer&no=XXXXXXXXXXX89&type=svc
然後透過 QR CODE 編輯器，把網址貼進去
https://qr.ioi.tw/zh/
貼進去之後，透過LINE PAY一卡通的轉帳功能，掃瞄那10個 QR CODE
是不是就輕易看到別人的：大頭貼、暱稱、真實姓名了呢~
你又說這樣子人工有點慢?
那是不是透過程式寫一段產生所有可能的QR CODE語法，並且搭配手機運行腳本
自動掃描畫面、點擊轉帳按鈕、紀錄掃描成功的大頭貼、暱稱、真實姓名
是不是就可以找出所有LINE PAY一卡通透明卡的持卡人資訊了呢?
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.135.116.185
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MobilePay/M.1537101437.A.2DE.html
※ 編輯: bignoob (220.135.116.185), 09/16/2018 20:39:16
1F：→ docsis: 那個QR Code之前就解讀出來了XDD 09/16 20:42
2F：→ docsis: 然後 09/16 20:42
3F：推 Sheng98: 暗黑法 09/16 20:45
4F：→ docsis: 詐騙集團又有新idea了XDD 09/16 20:48
5F：→ docsis: 來 資料撈下去 09/16 20:48
6F：推 samok: 感謝分享 09/16 20:52
7F：→ PAYPASS: 然後呢 要轉錢給我嗎 09/16 21:02
8F：→ m0806449: 這也太酷了 跟撈FB的資料同樣的意思啊~~ 09/16 21:09
9F：→ bignoob: FB別人不一定撈的到真實姓名 這個撈到100%是正確的 09/16 21:17
10F：推 stlinman: 有批個資好便宜! 需要請撈下去... 09/16 21:37
11F：推 frank2411: 那個所謂的真實姓名有可能不是對的，因為當時我名字輸 09/16 21:39
12F：→ frank2411: 入錯了沒發現，就直接下一步，系統應該是沒驗證有沒有k 09/16 21:39
13F：→ frank2411: ey錯，當下就完成申請帳號，直到我要轉帳時才發現名字 09/16 21:39
14F：→ frank2411: 怎麼是錯的，目前也沒地方讓我可以更正名字 QQ 09/16 21:39
15F：→ docsis: 樓上這個厲害欸 09/16 21:42
16F：→ docsis: 電支要實名 實名打錯的名字還給過XDD 09/16 21:42
17F：→ Sheng98: 應該要聯絡 LINE Pay 一卡通客服看是否要寫個資修正的 09/16 21:42
18F：→ Sheng98: 申請書吧 09/16 21:42
19F：推 frank2411: 他可能只驗證身分證號和補換發日期吧，我也是超傻眼的 09/16 21:49
20F：→ docsis: 內政部那個網站好像確實是驗證這兩個沒錯XDD 09/16 22:12
21F：推 itac: 那乾脆重新註冊個暱稱好了 09/16 22:14
22F：→ docsis: 一卡通的帳號現在沒辦法自己銷吧 09/16 22:15
23F：推 now99: 聯徵P11能過?還是一卡通沒去驗XD 09/16 22:31
24F：推 barkids: 確實足堪構成註銷一卡通帳戶之理由 09/16 22:32
25F：噓 ericsg: 主要是這些業者 根本不給消戶啊 09/16 22:37
26F：→ ericsg: 一卡通果然是公股事業 還不出來說明 09/16 22:38
27F：推 grantchuang: 請問如果line裡面取消一卡通連結，這網址還會有效嗎 09/16 22:44
28F：→ grantchuang: ？ 09/16 22:44
29F：→ docsis: 正常來說是不會 09/16 22:48
30F：推 spiritman: 不給消戶...看來台灣還沒有被遺忘權? 09/16 23:05
31F：推 grantchuang: 我等不及客服回應了，按了取消一卡通連結+解約，line 09/16 23:10
32F：→ grantchuang: pay一卡通掰掰～～還好line point還在。 09/16 23:10
33F：噓 barkids: 恕直言回報，剛照本篇做法，已輕易隨機得到多筆陌生個資 09/16 23:11
34F：推 xtt: 高調 09/16 23:16
35F：推 chang82111: 高調個資問題 09/16 23:36
36F：推 Colaman: 電子支付條例是有寫到銷戶這件事的，但要求所有的交易紀 09/16 23:38
37F：→ Colaman: 錄要保存五年 09/16 23:38
38F：推 taller: 嚇到我馬上砍卡跟銀行帳戶了 09/16 23:40
39F：推 saintshield: 這樣還有人護航 是詐騙集團 還是一卡通派來的嗎 09/16 23:41
40F：推 GravityWave: 官方Q&A中有寫一卡通帳戶一次只能登錄一個line帳號 09/16 23:41
41F：→ GravityWave: ，我推想...應該可以把一卡通帳戶登錄到分身的line 09/16 23:41
42F：→ GravityWave: 帳號，這樣子原帳號就不用解約，line pay記錄就不會 09/16 23:41
43F：→ GravityWave: 消失了，但是我沒有多餘的手機跟門號可以創line分身 09/16 23:41
44F：→ GravityWave: 測試，有興趣的可以試試看 09/16 23:41
45F：噓 FragrantBlue: 莫急莫慌莫害怕 你沒實名怎麼掃別人條碼？ 09/17 00:13
46F：→ FragrantBlue: 每個交易都是有紀錄的 即便你沒有真的轉錢出去 09/17 00:14
47F：推 GravityWave: 不過，以上方法只是把line跟一卡通帳戶之間的關係解 09/17 00:14
48F：→ GravityWave: 除而已，QR的那串網址還是可以靠輸入數字串查到個資 09/17 00:14
49F：→ GravityWave: ，既然是金管會認可的「帳戶」，開戶者若不想使用了 09/17 00:14
50F：→ GravityWave: 應該要有權利銷戶才對! 09/17 00:14
52F：推 barkids: 沒轉錢出去是不會有任何「交易」紀錄的，相反的可以在第 09/17 00:21
53F：→ barkids: 一個畫面得手個資就退出無誤喔~ 還是真的試過了再來說吧 09/17 00:21
54F：→ FragrantBlue: 「查詢」也是「交易」，都會有紀錄的。每年會稽核:( 09/17 00:25
55F：→ FragrantBlue: 信不信由您囉 09/17 00:25
56F：推 kiloga: 可怕… 09/17 00:26
57F：推 barkids: 恕直言~ 以官方說法與立場來洗白帶風向無用~ 實際改善作 09/17 00:30
58F：→ barkids: 為才是挽救商譽的永續做法 09/17 00:30
59F：→ bignoob: 用事後的稽核來檔事前的個資洩漏，這邏輯不太對吧，個資 09/17 00:34
60F：→ bignoob: 洩了就是洩了，我找個人頭是不是就可以全身而退了呢 09/17 00:34
61F：→ FragrantBlue: 能找到身分證字號一樣的人頭，的確是可以唷（笑） 09/17 00:37
62F：→ FragrantBlue: 這串到底是誰在帶風向 又是誰abuse服務呢 09/17 00:38
63F：→ FragrantBlue: 那講到邏輯當然是原po邏輯最正確了，不然早就刪文了 09/17 00:39
64F：→ bignoob: 原來現在是在檢討找到漏洞的人，把找到漏洞的人嘴堵住， 09/17 00:39
65F：→ bignoob: 漏洞就消失了 09/17 00:39
66F：→ Sheng98: 在想會不會過沒幾天就出現這篇漏洞報導了 09/17 00:40
67F：推 kimchimars: 我也不懂某人護成這樣是有什麼好處？ 09/17 00:40
68F：→ FragrantBlue: 怎麼，沒有順著風向走就是護航？ 09/17 00:43
69F：→ FragrantBlue: 這裡又不是行動支付黑特版 只能罵 09/17 00:43
70F：→ FragrantBlue: 然後這就不是漏洞，原Po硬要說是漏洞也是自由啦 09/17 00:44
71F：→ FragrantBlue: 另一家不用打全名還能轉的機制還沒上新聞比較有趣 09/17 00:45
72F：推 kimchimars: 我就不懂你一直貼別人自助餐的標籤是在幹嘛？MobilePa 09/17 00:47
73F：→ kimchimars: y板基本上大家都知道剛上線會不穩，對處理個資的作法 09/17 00:47
74F：→ kimchimars: 提出疑慮就被你嗆只想拿點數，是有事嗎？大家基本上都 09/17 00:47
75F：→ kimchimars: 是期待才會使用啊 09/17 00:47
76F：→ kimchimars: 而且馬上對號入座也是很可愛 09/17 00:48
77F：→ kimchimars: 前篇貼的規則就有寫到姓名「或」名稱了，請問新聞點是 09/17 00:49
78F：→ kimchimars: ？ 09/17 00:49
79F：→ prussian: 新聞點就是，名稱應該都是要法律上有效力的名稱 09/17 00:51
80F：→ prussian: 不是自以為的隨便取個小名都可以.. 前面回文的推文有講 09/17 00:52
81F：推 HTConeplus: 高調個資問題 09/17 00:52
82F：→ kimchimars: 感謝p大提醒。我只覺得LP隨意點選就可以顯示對方登記 09/17 01:00
83F：→ kimchimars: 的實名很有疑慮 09/17 01:00
84F：→ winsonwu: 我想收付款方要出示姓名大家絕對沒疑問的呀!但現在是任 09/17 01:03
85F：→ winsonwu: 何人單方加入就能看到或者QR撈就.....反正會用的就用 09/17 01:03
86F：→ prussian: 豬豬: 請金管會不要再護..喵的同業你們怎麼都站那邊去了 09/17 01:04
87F：→ prussian: 同業: 你是不是覺得怎麼路上的車都逆向... 09/17 01:04
88F：→ docsis: 弱弱的問 豬豬是誰 09/17 01:05
89F：推 kimchimars: JKOPAY吧XD 09/17 01:06
90F：→ winsonwu: 覺得街口單純只用暱稱不OK的也可高調啊XD 09/17 01:06
92F：→ prussian: 就看LINEPAY要不要作個轉帳開關吧，有開才允許別人轉入 09/17 01:08
93F：→ docsis: 可以高調啊 只是怎麼街口都開放半年以上才提出來XDD 09/17 01:08
94F：→ docsis: 反正大家有問題提出來被討論看到 09/17 01:08
95F：→ docsis: 電支法那邊才有機會修正的更好吧？ 09/17 01:08
96F：→ prussian: 不過一卡通和LINEPAY個資不能互通的話會很難搞就是了 09/17 01:09
97F：→ prussian: 如果要自己輸入姓名 應該很多人嘗試的動機會被澆熄 09/17 01:10
98F：推 GravityWave: 既然是「帳戶」，實名制當然是必須的，我想沒人會反 09/17 01:11
99F：→ GravityWave: 對，但是透過QRcode解碼+暴力法可以隨機得到陌生人 09/17 01:11
100F：→ GravityWave: 的資料，這問題就大了，即使只能隨機取得&被看到不 09/17 01:11
101F：→ GravityWave: 會怎樣，仍然是暴露個人隱私的行為，一卡通應該保護 09/17 01:11
102F：→ GravityWave: 用戶隱私才對 09/17 01:11
103F：推 itac: 現在一卡通可能會說揭露姓名不違反法規云云，知道姓名也不能 09/17 01:16
104F：→ itac: 如何，但是他真的不顧使用者的擔憂嗎？ 09/17 01:16
105F：推 GravityWave: 樓上，以目前新聞看來，一卡通似乎打算這麼做 09/17 01:19
106F：推 kvhiucn: 想消戶了 09/17 04:22
107F：→ asdfghjklasd: 用國外IP查.有紀錄又怎樣.你一卡通是能捉膩 09/17 05:12
108F：噓 mike0608: 現在連不用好友都可以查個資了 全台最大免費個資資料庫 09/17 07:11
109F：→ mike0608: 上線囉 09/17 07:11
110F：推 cityport: 有個工讀生一直拼命想替一卡通消毒，來人啊，賞他500 09/17 07:32
111F：推 now99: 個資問題投訴金管會比較快，直接下公文修改，而且街口暱稱 09/17 07:41
112F：→ now99: 轉帳都半年了代表金管會也默認了 09/17 07:41
113F：推 mike0608: 話說銀行帳戶轉帳都不用揭露名字 怎麼電支會要…蠻奇怪 09/17 08:07
114F：→ mike0608: 的 09/17 08:07
115F：推 longya: 直接講人工讀生這指控也是滿嚴重而且很沒水準的…把八卦 09/17 08:52
116F：→ longya: 板那一套收起來不要到處秀好嗎 09/17 08:52
117F：→ kouta: 現在只有臨櫃匯款才要名字吧 硬凹 09/17 09:12
118F：→ MixBear: line非好友及設定沒關隨意打電話也可以找到大頭貼跟姓名 09/17 09:26
119F：→ MixBear: 啊XD 只是錯誤有限次數而已 09/17 09:26
120F：→ MixBear: 有些人暱稱都是用本名QQ 09/17 09:28
121F：→ bignoob: 取消允許被加入好友，就搜不到了 09/17 09:31
122F：→ bignoob: 暱稱你可以選擇隨意輸入，這個你想藏姓名都藏不了 09/17 09:38
123F：推 iorittn: 依這樣看，沒申請那張透明卡會有事嗎? 09/17 10:28
124F：推 avialin: 看了這文覺得申請透明卡真的是錯誤的選擇 09/17 10:51
125F：→ m0806449: 沒申請卡一樣有事啊 只要你有註冊一卡通帳戶 就中標囉 09/17 10:57
126F：→ m0806449: 啊我說的是姓名的問題 sorry 請忽略我 09/17 10:58
127F：推 atb: 原po可以實際實驗看看嗎？當然個資的部分要隱碼 09/17 11:00
128F：→ bignoob: 每個人都可以試, 但試的結果當然不宜貼出來 09/17 11:34
129F：→ winsonwu: LINE好友至少還可設定不讓人輕易被搜出來，但一卡通和 09/17 12:27
130F：→ winsonwu: LINE分別獨立所以LINE就算已刪除封鎖都沒用 09/17 12:28
131F：→ winsonwu: 這算是兩家公司合作的後遺症吧 09/17 12:28
132F：推 rial: line pay一卡通違反個資法了，立委、檢察官還在睡？？？？？ 09/17 13:22
133F：推 nadoka: 就說沒違反了是誰在睡... 09/17 13:25
134F：推 u97127011: 我稍早試 試不出來.... 09/17 13:32
135F：→ u97127011: 卡號確認了多次應該輸入正確才是 09/17 13:33
136F：→ spiritman: TechNews已經有新聞報了 09/17 13:39
137F：→ winsonwu: 樓上卡號測試是測自己的卡號? 09/17 13:40
139F：推 masabass2: 幫高調 09/17 13:58
140F：推 u97127011: 試出來了...10組剛好有一位... 09/17 14:04
141F：推 barkids: 試出5位了...這才是令人震驚的 09/17 15:55
142F：推 bilibala: 借轉八卦板 09/17 16:03
143F：→ bilibala: 或者請發文的 bignoob 轉一下，這事情很大條啊 09/17 16:04
144F：→ bignoob: 請轉 09/17 16:05
145F：→ bilibala: 謝謝！ 09/17 16:11
※ bilibala:轉錄至看板 Gossiping 09/17 16:12
146F：推 ctes940008: 怕 09/17 16:20
147F：推 thomaschion: 有漏洞無罪，拿別人的個資犯罪有事，大家不要亂試 09/18 10:54
148F：推 yoyolife: 你可能快被詐騙集團吸收了 XDDD 09/19 00:49
149F：推 huangrachun: 哦，發現了一件不得了的事！ 09/19 19:01