作者kashima228 (承)
看板MobilePay
標題[請益] 全聯PXPAY安全問題
時間Mon Aug 19 19:30:38 2019
我搜過 好像沒人問
就是一般來說 使用pxpay不管信用卡 還是儲值金 都要先輸入密碼或是指紋辨識才能進入
不過這幾天跟這我媽去全聯在結帳時發現
只要打開APP 點開會員QR Code 連密碼都不用輸入
跟店員說用儲值金支付 也不用輸入密碼就能付款了
我本以為我媽是依照正常流程在結帳的
結果是用這樣的方式
使用方式基本上就和拿實體福利卡一樣
那這樣不就手機掉了
別人也能直接拿去全聯結帳嗎？
有點不安全耶
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 36.233.182.194 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MobilePay/M.1566214240.A.4AE.html
1F：→ Sheng98: 開開始用 PXPay 的時候就發現了, 而且那會員 QRCode 08/19 19:33
2F：→ Sheng98: 會變動是還好, 主要是手機還是要上鎖 08/19 19:33
3F：→ Sheng98: 手機不想上鎖的話就鎖 PXPay APP, Android 可以單獨鎖 08/19 19:34
4F：→ Sheng98: iPhone 的話要研究一下 08/19 19:34
5F：→ iueeng: iphone不上鎖 手機的價值都比儲值金還貴 08/19 19:42
6F：→ iueeng: 一堆實體電子票證 一樣有掉了風險 PX一樣有儲值上限 08/19 19:44
7F：→ iueeng: 想成虛擬票證就可以了 其實PXPAY這樣比較設計不錯 自己 08/19 19:46
8F：→ iueeng: 的手機本來就是自己該保管好 至於信用卡扣帳或儲值金上鎖 08/19 19:46
9F：→ iueeng: 比較多可能是怕拿去玩手機小孩亂按 至於儲值金支付為何不 08/19 19:47
10F：→ vodkalime: 就當實體卡掉了也是這樣 08/19 19:47
11F：→ iueeng: 需再驗證一次 目前也只有收銀櫃台可以扣款 收銀應該都有 08/19 19:48
12F：→ iueeng: 監視錄像 若真了被盜用 報電話也能追查卡號 何時被盜 08/19 19:49
13F：→ iueeng: 所以 記得帳密 可以拿另一支手機去登入也能扣帳或是踢出原 08/19 19:52
14F：→ iueeng: 登錄那隻 (上行本來想打掉手機但想到 幫家人消儲值金 也可 08/19 19:53
15F：→ iueeng: 自己手機登錄 或是自己手機切換不同登錄門號ID 08/19 19:53
16F：→ iueeng: 覺得一堆支付APP 資安設計太複雜反而影響使用率 或是一堆 08/19 19:55
17F：→ iueeng: 會員APP 只有查詢功能無扣款功能 鎖的比銀行的APP還嚴僅 08/19 19:59
18F：→ iueeng: 之前還在電信APP反映過 打電話或小額簡訊都不用密碼 但查 08/19 19:59
19F：→ iueeng: 電話未出帳 三不五時被登出或重新登入 一堆會員負評才改寬 08/19 20:00
20F：→ iueeng: 自己的手機 學會上鎖比較要緊 而個別APP真的不需要 太多層 08/19 20:02
21F：→ iueeng: 驗證密碼 多組密碼之後記不住 最後寫在紙本備忘不是更不智 08/19 20:04
22F：推 gnr1213: 跟掉了實體信用卡一樣啊，感應一下就可以消費了，沒密碼 08/19 20:14
23F：→ Sheng98: 樓上那是掃條碼不是感應 08/19 20:16
24F：→ maikeiko: 確實要加密動作阿 08/19 20:50
25F：推 jay121133: 現在要把前一隻手機登錄踢掉 要手機驗證碼 才能登錄 08/19 21:04
26F：推 yixianl: 手機會上鎖吧 08/19 21:19
27F：→ Sheng98: 有些人可能連手機都懶得上鎖 08/19 21:19
28F：推 MJdavid: 沒用行動支付之前 我手機都不上鎖 08/19 21:21
29F：→ yixianl: 應該要把首頁會員QR拿掉 08/19 21:21
30F：→ yixianl: 要用就一定要點進信用卡或儲值金 08/19 21:21
31F：→ yixianl: pxpay剛出來時我就有提過這問題但是沒什麼人要討論 08/19 21:23
32F：→ yixianl: 全聯想法可能就是把他看作實體卡一樣的程序 08/19 21:25
33F：推 hydroer: 手機要解鎖。至少比福利卡掉了還好，福利卡別帶了 08/19 21:59
34F：推 maikeiko: 不能以當作實體卡來看阿 既然要搞支付 加密很基本的 08/19 23:16
35F：→ Sheng98: 這只能在 APP 的評論回饋 or 直接向客服建議, 請客服轉給 08/19 23:31
36F：→ Sheng98: 上層了解, 再看有無機會可以讓沒有加密的會員 QRCode 08/19 23:32
37F：→ Sheng98: 拿掉吧 08/19 23:32
38F：推 wangstar: 手機一定要上鎖，太多行動支付和信用卡綁在手機了 08/19 23:58
39F：→ BlueBird5566: 我覺得這樣就很好了 太多app鎖太多 開app要解一次 08/20 00:05
40F：→ BlueBird5566: 要秀條碼還要解一次 要查訂單紀錄還要解一次 ZZ 08/20 00:05
41F：推 timlin1989: 應該說這種問題很多APP都有，不單只是全聯。不過認真 08/20 00:11
42F：→ timlin1989: 說，這APP的易用性沒有辦法讓婆媽立刻上手，這就是一 08/20 00:11
43F：→ timlin1989: 個非常大的致命傷。 08/20 00:11
44F：→ timlin1989: 姑且不論安全性，一堆只是當初為了跟風和衛生紙的，以 08/20 00:11
45F：→ timlin1989: 及這個是以手機當帳號的龐大資料，這後面問題才是最大 08/20 00:11
46F：→ timlin1989: 的... 08/20 00:11
47F：→ timlin1989: 若要認真說安全性，婆婆媽媽一堆只願意用簡單的數字當 08/20 00:17
48F：→ timlin1989: 帳號的密碼和支付密碼，這也沒安全到哪去XDD 08/20 00:17
49F：→ iueeng: 就像一堆年長人士手機SIN卡還是預設沒改 沒啟動 08/20 00:58
50F：→ iueeng: 提款卡把密碼寫在卡背 對他們而言 記密碼或是太複雜會排斥 08/20 00:59
51F：推 yixianl: pchpme跟momo也一樣app都一直是登入狀態 08/20 01:19
52F：→ yixianl: 如果手機沒鎖開啟app就能直接使用儲值購物了 08/20 01:19
53F：→ yixianl: pchome 08/20 01:19
54F：推 yixianl: 所以這些app在設計上應該就是手機要上鎖 08/20 01:22
55F：推 nuc1earsub: 所以 Google Pay 強制要在設定有上鎖的狀況下才能用 08/20 02:38
56F：→ nuc1earsub: 這點 GP 做得不錯 08/20 02:38
57F：推 jiaen3387: 從有Px Pay以來，我都直接叫福利卡的qrcodr除出來，跟 08/20 06:53
58F：→ jiaen3387: 收銀說直接從裡面的儲值金扣款結帳就好了。 08/20 06:53
59F：推 cool810: 借文問，請問中信消費600元贈700福利點活動，同一手機帳 08/20 08:42
60F：→ cool810: 號下綁定的兩張卡，實體卡和虛擬卡，可以分別給點嗎？ 08/20 08:43
61F：推 doom3: 原來還有支付APP可以手機不上鎖還給你用喔... 08/20 08:59
62F：推 timlin1989: 中信這次的活動是算「帳號」的，而且一帳僅回饋一次。 08/20 09:57
63F：→ Galileo: PxPay至少還要螢幕解鎖才能用 NFC悠遊卡連解都不必解XD 08/20 10:30
64F：推 gogolegoman: 我的信用卡支付要face id才能進呀 08/20 10:33
65F：推 gauiugr: 沒用行動支付之前 我手機都不上鎖+1 08/20 11:15
66F：推 jambug: pchome要折抵儲值前要簡訊認證，momo要重新輸入密碼 08/20 11:47
67F：→ jambug: 所以還算有點保護措施，但pxpay真的就完全沒擋，直接扣掉 08/20 11:48
68F：→ jambug: 合理的來說應該至少要再出現指紋辨識或密碼輸入才是... 08/20 11:49
69F：推 jvc50: PXPAY改了很多次，這個漏洞一直都沒處理，之前就發現這個問 08/20 12:27
70F：→ jvc50: 題 08/20 12:27
71F：推 adamqwop: 照原po的邏輯，AP或GP豈不是更危險，一次噴好幾張卡， 08/20 12:57
72F：→ adamqwop: 額度還更高 08/20 12:57
73F：→ Jmoe: AP GP 還是需要手機指紋/臉部 解鎖啊 08/20 15:02
74F：推 lianpig5566: 說的好像PXPay不用先解手機鎖一樣 08/20 15:33
75F：推 lazyguy0213: 想問看到全聯有四盒兩份的樂事送卡娜赫拉的購物袋不 08/20 15:34
76F：→ lazyguy0213: 知道一份多少 08/20 15:34
77F：推 cool810: 謝謝t大回覆 08/21 03:16
78F：→ blackdragon: 手機掉了全部都不安全了 08/21 05:07
79F：推 SHENG2014: Pxpay用儲值付款根本就已經不是行動支付了。 08/21 13:16
81F：→ vic90351: 樂事價錢來了，但是好少店家有賣這個組合喔 08/21 15:41
82F：推 chw88: 目前暫時先用手機自有的程式應用鎖功能,進入APP前要先認證 08/22 06:36