分享嘉宾：宋宇昊，毕业于上海交通大学信息安全学院，碁震（KEEN）的联合创始人，现担任技术总监、高级研究员，曾任职于微软（中国）安全响应中心，并于2010年获得微软中国突出贡献奖。目前关注Android相关和智能设备领域的安全研究，同时致力于打造 GeekPwn 平台，向广大白帽子们征集智能设备漏洞，提交给厂商，并把危害展现给大众。

【KEEN 联合创始人 宋宇昊】

 

这世上的骗局，到底谁买单？

随着移动支付的普及，我们的生活变得越来越便利。我们甚至已经可以不带钱包、现金、银行卡出门，只用手机就能完成吃饭、娱乐、交通、购物的支付。

平时我们一讲到支付安全，大家最容易想到的就是钓鱼、诈骗、木马。确实，钓鱼、诈骗和木马是支付领域最常见犯罪手段，它的犯罪成本低、易于实施。他们其实属于社会工程攻击的范畴，犯罪者一般先通过各种方式获取受害者的信息，比如联系方式、甚至可能是受害者的个人隐私信息，然后犯罪者利用受害者心理弱点进行欺诈，诱使他们做一些操作。例如洗钱调查开安全账户、家人生病、来看看我们的照片等等都是常见的欺诈手段。最近几天被广泛传播的《为什么一条短信就能骗走我所有的财产？》文章中讲的也是一种诈骗手段。

所有欺诈手段的共同点是，犯罪者都要诱使受害者犯错，只有受害者执行了错误的操作才能够让犯罪者得逞。那么是不是只要用户保持清醒的头脑不受骗上当就安全了呢？

答案是否定的。除了用户有犯错的机会，产品厂商的设计者、开发者也会犯错，他们犯的错误也可能导致用户财产受到犯罪者的侵害，当然也可能导致厂商自己受侵害。大家都知道开发者写代码出错，那叫Bug。而如果正好有某个Bug不巧，能够被攻击者利用，在没有被授权的情况下访问或者破坏系统，那这个Bug就叫做漏洞。

有些人会把这类攻击者叫做黑客，但我这儿为了避免混淆不这么称呼，因为在不同场合下黑客有不同含义。有时候，黑客被认为是利用技术研究成果实施计算机犯罪的人，这类人也被叫做黑帽黑客；有时候，黑客是指那些把研究成果用于帮助厂商改进产品，帮助保护用户安全的人，这类叫做白帽黑客。

白帽子们会在各种渠道，例如 GeekPwn 这样的平台上分享并展示出自己的研究成果，然后我们将这些成果提供给厂商，以帮助他们提升产品安全。正因如此，这些案例中的漏洞并没有被用于犯罪行为中，而是被厂商及时地修复了。今天我们就来看看我们能从中吸取到些什么经验和教训。