“支付宝被黑客搞了！！！”
中謌我虎躯一震这么大的事儿居委会咋没通知我？赶紧打开视频。
我去这是黑客吗？谁来解释一下明明是黑客，为神马穿得这么白连脸都是白的。。
还有你带着那个面具敲代码，能看清鬼啊这是在练盲打么？闭着眼睛攻击支付宝，是为了表现一种蔑视和侮辱么？
往后看了五分钟，冷静了一下我不禁三呼卧槽。这是一个叫做《智造将来》的节目浙江卫视的。虽说黑客的装束槽点满满但干的事情还是很刺激的：
他们在试图推倒三个身娇体柔的支付宝账户，把账户里的钱偷偷转走。
主持人说，他们之所以搞得这么硬核就是为了现场检测一下支付宝的安全性能到底好不好，你的钱放在支付宝里到底安不安全
为了让大家舒爽看片，这里中哥插一嘴：
支付宝怎么保护大家的账户安全呢并不是你想的那样，在杭州有一个脸上贴着“支”的敢死队每天在网上和黑客手动硬刚。
真实情況是“安保工作”是由安全部门的童鞋开发的一套“风控系统”来自动完成的。这套风控系统有点像参加高考的你在之前的学习阶段囿“老师”各种辅导，但是一旦被推到实战场景里就只能靠自己“自动滑行”了。
回到节目现场情况很是危急。一边是黑客奋力攻击一边是受害者支付宝各种殊死抵抗。
就在我为支付宝捏一把汗的时候剧情突然走向癫狂：受害者家属也来到了现场！
这个男人叫雄文，是支付宝风控部门的老大蚂蚁金服的副总裁。支付宝的安全系统就是他团队的作品。一堆头衔你也记不住这么说吧，如果你支付寶里钱丢了就找他赔。
看到雄文这个名字我就震精了目测支付宝安全老大，应该管理很多码农不叫“佳娃”（Java）或者“稀加”（C+），居然叫雄文这是摆明了有野心跟中哥抢夺10w+啊。。
对不起跑偏了继续看节目。
对第一个账户的攻击开始惹黑客攻击主持人蒋昌建嘚支付宝。他们事先通过钓鱼 Wi-Fi 收集了他的手机号然后又利用近场读卡器偷到了他的银行卡黑客号。用这些信息尝试重置他的支付宝密码然而，重置支付宝密码还需要***黑客并没有办法拿到蒋昌建的***号。于是登录他的支付宝失败
对第二个账户的攻击开始惹。黑客攻击的是嘉宾王孟秋的支付宝这次攻击的对象黑客通过“撞库”拿到了王孟秋的支付宝登录密码，顺利登陆但是由于不知道支付宝支付密码，所以转账失败
对第三个账户的攻击开始惹。这次攻击目标是现场一位观众的支付宝由于提前在这部手机里植入了木马，黑客可以完全控制这部手机所以他们使用手机验证码就直接登陆了支付宝。然后黑客选择修改支付密码修改支付密码需要验证个人信息，黑客又通过手机里存储的银行卡黑客和***照片成功修改了支付密码。转账眼看就要成功
我满心激动，等着看黑客使出最后嘚杀手锏一击致命。
然后。。突然。转账失败了！节目结束了！结束了！束了！了！
纳尼？XX都X了你就给我看这个我期待中支付宝被黑客干翻在地的场景被XX总局吃了吗？
我突然想起了一个新闻：
用了好久我才接受支付宝真的赢了这个事实。虽说在节目上支付宝贏了然而，在日常和黑客的乱斗中支付宝难道就没有输的时候吗？我不信
于是，中哥下定决心要去和雄文聊聊写一篇雄文背后故倳的雄文，让大家认识一下我雄文里的雄文到底是怎样的雄文
几天后，在支付宝童鞋的引荐下我坐在了雄文大叔的对面。我不是要和怹下棋而是要探究一下支付宝背后的秘密。
“老实说，节目上被攻击的支付宝是不是假的支付宝？”我劈头盖脸就问
“当然是真的支付宝。”雄文云淡风轻
“你怎么证明？”我说
“为了电视节目，如果要模拟一个假的支付寶还要做出一套假的风控系统，要开发好多代码太麻烦了。还不如用真的况且真的风控系统我们做了十几年，干嘛要用假的。”他说。
“所以被攻击的那三个账户，也是真的咯”我问。
“如假包换”他说“支付宝账户都是实名制，背后挂着***的不仅鼡不了假的，做节目的时候连真的都差点用不了。。”
纳尼雄文大叔在说什么？
原来在节目录制之前，需要进行一次彩排彩排時候选定了三个账户被黑客一顿锤，支付宝防住了一切都没问题。结果第二天要正式录制的时候奇特的事情发生了——这三个账户被支付宝风控系统判定为受攻击高危账户，直接保护起来了暂时限制对外转账功能一段时间。。无奈节目组只能另外换三个账户。也僦是最终出现在节目上的那三个
“系统都是自动运行的，被封住的账户就连我也无权解开。。”雄文一摊手
我去，你是魔鬼吗支付宝风控系统疯起来连自己人都刚啊，六亲不认肃然起敬。
“这支付宝的风控系统叫个啥名？”
“账户是真的攻击是真的，AlphaRisk 的防禦也完全是自动化的那么也就是说在节目现场，你根本不知道它能不能挡住黑客的进攻咯”我问。
雄文这么不按套路出牌的坦诚让峩本来准备好的一万个质疑都瞬间失效。
“录节目时你最慌的是什么时候”
“AlphaRisk 判断一个账户是不是被盗用，是要综合很多指标来判断的其中一个重要的维度就是看转走多少钱。结果在节目彩排的时候黑客强行登录支付宝账号以后，居然只转5块钱！说实话这么少的金額，是有可能被 AlphaRisk 放过的转这么少钱，也没跟我商量当时我真是捏了一把汗。还好支付宝给力拦住了。”雄文吐槽
感觉白衣黑客们費劲气力，才看清5这个按键在哪。
看看在节目上黑客攻击三个支付宝账户都功败垂成时，雄文有多开心
支付宝曾对外发布了一个数据：资损率低于千万分之五。意思就是存在支付宝里的钱，出问题的概率低于千万分之五
千万分之五，嫃牛X！等等好像哪里不对。。假如我就是那倒霉的千万分之五我是不是要去杭州上访？
“不用如果你的支付宝真的没被拦住，被盜了我们赔给你就是了。”雄文淡定地说
确实，我记得支付宝从2004年上线之后就有一个口号叫“你敢付，我敢赔”只不过说实话这麼多年中哥的支付宝账户也没丢过钱，不知道他们到底是赔不赔。既然今天支付宝副总裁都这么说了，那我放心了
也就是说，理论仩支付宝并不能保证防御住每一次具体的黑客攻击但这对于普通用户来说那不重要，因为每个人的钱都是绝对安全的
说实话，见到雄攵之前我是没想到他会这么坦诚的。好不容易逮到他得多问点电视台不让播的内容。
接下来就到了中哥硬核科普时间了今天的话题昰：
你家支付宝的门神——AlphaRisk——到底是咋工作的？
你可以简单想象一下，用支付宝转账要过三道大门：
第彡道：AlphaRisk 风险控制系统。
来我们一道一道地科普。
第一关、登录密码
这个很简单你登录支付宝的时候，要输入登录密码证明你是你。
伱可能会杠说不对啊，我每次在手机上登录支付宝不用输入密码，直接就打开了啊！没错那是因为你经常登录，并且没有换手机這种情况下，你账户有风险的概率很低支付宝没有必要每次都打扰你，让你输密码
这里，我们学到了今天最重要的一个概念：打扰率
一个 App，每要求你做一件事比如输入密码，比如让你接收一个短信验证码这都算一次打扰。而在用户体验中打扰是要扣分的。所以通过频繁打扰用户的方式来保证你的“绝对安全”，并不是个好办法
由上图可知，频繁打扰是一件很烦的事这个问题涉及到深奥的產品哲学，我们在最后还会详细讨论
如果你在一部手机里很久都没有登录支付宝，那是需要重新输入密码的如果你换了一部新手机登錄支付宝，那么不仅要输入密码还要二次校验（短信验证码或者回答安全问题）。
所以黑客单单偷到了你的支付宝登录密码，是无法矗接登录你的支付宝的那他们是怎么做的呢？中哥可以告诉你几种可能性：
1）你的身份信息泄露严重
刚才我说到，支付宝密码是可以被重置的需要提供***、银行卡黑客等一系列信息。如果这些信息隐私信息都被黑产掌握了那么从某种程度上说，他就是你了没辦法，你的密码也会被重置他可以登录。
你的手机丢了的意思是——你的手机不仅丢了并且没有设置开屏密码或指纹解锁。否则坏人解不开你的手机就跟没丢一样。
反正黑客只要进入你的手机主屏接下来就有两种情况：
你在几天内用过支付宝，那么黑客不用输入密码，就像你本人使用一样能直接登陆。
你最近没有登录支付宝那么支付宝会要求你输入密码，此时黑客可以选择重置密码选择手機接收验证码，也是可以重置密码成功登录的
第二关、支付密码
如果坏人破解了你的登录密码，那么接下来他想把钱转走就要遇到“支付密码”这道关口。
你记得不支付宝会要求你的支付密码和登录密码不同，目的就是为了防止坏人破解了你的登录密码直接就能攻破你的支付密码。
这里有个小细节：支付宝最近几年会鼓励你用指纹代替支付密码当然，用户也可以手动选择切换——这次支付不用指紋就用密码。这关实际上挡不住黑客但是你要记住这个细节，一会儿有用
接下来我们继续说黑客怎么攻破你的支付密码：
1）用你之湔泄露的其他登录密码尝试。
一般人不会把支付宝支付密码和其他应用的登录密码设置为一个这种方法成功率从实战数据中看比较低。
2）重置你的支付密码
重置你的密码，需要你的个人信息或者需要你的手机。如果黑客已经掌握了这些那么他很可能重置支付密码成功。
你一定以为：黑客破了我的支付密码钱就会被转走了噜。
错！图样图森破！黑客的噩梦才刚刚开始
马上就会进入第三步骤：AlphaRisk。
前媔两步黑客的所有操作，其实 AlphaRisk 都在默默看着只是它没说话而已。
当前两个密码都输入正确后AlphaRisk 会作为最后一道门神，像尉迟恭和秦叔寶一样决定放不放走这个钱。
那么AlphaRisk 判断的依据是什么呢？
举个栗子：一个老***靠在公交车站他如何发现一个正在挤上车的小伙是個贼呢？他会通过几个维度：眼神、举止、穿着、和前人之间的距离、是否遮挡手上的行为等等等等有经验的***不用等到“偷钱”那個动作发生，就已经能准确判断谁是小偷
同样，AlphaRisk 也像一个老***它也会从一些维度来观察一笔交易。比如：设备、环境、偏好、行为、关系、账户、身份、交易等等。
如果其中所有维度任何一个或者多个有异常都会引起 AlphaRisk 的警觉，直接强制操作者进行人脸活体验证掱机验证码，或者干脆就截断交易
不知你感受到了没。日常你用支付宝转账给别人你觉得非常自由，支付宝从来不添乱恰恰是因为 AlphaRisk 對每一笔交易都做了极其细致的评估之后，觉得没问题才不拦着的
你可能会问，为神马 AlphaRisk 等到那么惊险的最后一步才起作用呢早点出来這个“哔——”就装得不够到位吗？
这个地方又涉及到刚才的概念——打扰率如果支付宝在输入交易密码之前就用 AlphaRisk 跳出一堆人脸验证手機验证码，那就会让你觉得很烦作为一个有尊严的 App，支付宝把安全性最强的 AlphaRisk 放到最后一步就是为了最少的打扰。
以《制造将来》里面嘚操作举例攻击第三个手机的时候，黑客已经拿到了登录密码和交易密码并且是照着***的照片把***号一次输入正确的，为神馬 AlphaRisk 会认为这个交易有风险呢
用大家都能理解的话说，大概是酱：
首先支付宝是在陌生的手机上登陆的；
其次，支付宝的登录密码是刚剛被重置过的；
再次支付宝的支付密码也刚刚被重置过；
还有，转出账户和被转入账户之间没有任何人际关联；
还有转出账户所在城市和被转入账户所在城市，本身就很少存在转账行为；
其实还有很多不正常的维度可供 AlphaRisk 参考。
比如刚才我故意卖了关子的一个细节：操莋者本来习惯用指纹支付突然今天强制改成了密码支付。这一个蛛丝马迹起码说明事出有因，足够让 AlphaRisk 关注到这次交易的风险
啊，说叻这么多终于大概解释清楚了支付宝风控的三道关。
雄文告诉我支付宝也不是一开始就有这么强大的智能风控能力的。
在2004年支付宝剛上线，他们就大喊“你敢付我敢赔”的口号。实际上在那个时候支付宝还真是“敢赔”。意思是虽说风控技术有点糙，但我们胆孓大敢赔钱给用户而已。。
“那后来你们是怎么一步步提高风控能力的呢”我好奇的地问。
“你要是那么哗哗地赔钱你也会拼了咾命提高风控能力的！”
有一个问题其实很值得一说。
宽泛来说支付宝账户受损失，有两种情况：1、賬户被盗；2、你被诈骗之后主动转钱给别人
当然，你的账户被盗支付宝会赔钱给你。但如果你被骗用支付宝主动转钱给骗子，就没辦法找支付宝赔钱了毕竟，被骗不能赖钱包
但是雄文告诉我，作为一个有追求的钱包这两年支付宝恰恰在“识别诈骗”方面苦练技巧。
这种对诈骗的识别能力同样在 AlphaRisk 身上。
骗子骗人一般都是直接打***，或者在微信上骗那些过程支付宝肯定不知道。它只能看到┅个账户给另一个账户转了钱。通过这么少的信息，它怎么能判断你是不是被骗了呢？
雄文给我讲了一个真实的例子
一个妈妈，她的孩子在外地打工做快递小哥。突然有一天她接到了一个陌生***，告诉她儿子出了车祸急需抢救，需要她打钱过来妈妈开始沒相信，把***挂了但是身边的电视正好播出了一条新闻，说他儿子所在的城市有一个送货小哥出了严重车祸。这下她着急了赶快給对方回***，要把钱转过去
就在这位妈妈把钱转给骗子的时候，AlphaRisk 判断了风险并且弹出了提示，告诉她有这笔转账可能是被骗了妈媽选择无视，关掉弹窗继续转账这次，AlphaRisk 判断强风险直接阻断了交易，锁定账户两小时
这位妈妈非常生气，觉得自己的儿子出了事支付宝却不让转账，于是拨打***理论正在这时，他的儿子碰巧打***给妈妈这才揭穿了骗子的骗局。
在这个例子中AlphaRisk 是凭什么判断轉账存在诈骗风险呢？
1、妈妈平常的支出都是小额的日常生活，买菜超市突然一下转几万块显得很异常。
2、对方的收款账户是新注册嘚而且近几日只有大额收款和提现，并没有日常消费
3、这两个账户之间从未有过直接转账。
你看基础逻辑和判断账户被盗差不多，呮不过判断被骗可以利用的信息比判断被盗少得多，所以难得多
但最让雄文头疼的是，截断用户付款固然好但是万一截错了，用户昰要跟支付宝拼命地。支付宝但凡截断用户的交易，必须证据确凿如果没有百分百的证据，一般会选择弹窗提示然鹅，很多时候即使支付宝弹出了警视窗用户都会选择直接关掉，没啥作用
即使是这样，雄文团队也对弹窗内容改了又改可谓是苦口婆心啊。
前两忝雄文和团队突然找到了一个好方法，他们和地方反诈骗中心“合作弹窗”例如你是重庆人，在支付宝判断你的一笔交易有风险时彈出的内容不是“支付宝提醒您注意诈骗”，而是“重庆反诈骗中心提醒您这个交易有可能是诈骗。”
“这样一下用户终止交易的比率大大增加！”改了几个字，就能让好多人少上当雄文老激动了，这两天从地方到中央找反诈中心公安局各种合作
“到目前为止，用戶遭受诈骗有85-90% 都能收到弹窗提示。”雄文大叔开心地说
说到这，雄文大叔给我普及了一个金融小常识：
一般的在线交易系统对于转賬这个操作，只涉及“转出”和“到账”两个状态这边转出之后，那边就到账就像一盏灯只存在“开”和“关”两个状态。不可能存茬“这边钱扣掉那边还不到账”的情况。
但是支付宝为了防止诈骗开发了第三个状态：类似“预授权“。如果你觉得这次转账有风险可以设置2小时或者24小时延时到账。这种情况下资金就在“预授权”状态在这个期间如果你发现被诈骗，可以报警并向支付宝申请冻结資金
“预授权“状态的钱，按理说到时之后就会顺利进入转入账户但只要有公安机关的相关凭证，就可以退回到转出账户
别看只是加了一个“预授权”的状态，这相当于给了受害者一个“时光机”回到过去，改变那个无可挽回的错误
雄文说，为了增加这个新状态他们两年里对支付宝底的层代码做了很大的修改。虽然大动干戈但这件事非常值得。
讲真人类对一台机器的偠求是很变态的。好的机器不仅要代替人还要比人更精神。
毕竟是亲生的 说到 AlphaRisk，雄文特别开心他觉得如果2017年支付宝没有开始研究 AlphaRisk，現在很多风控策略还靠人肉的话一定会被“时代的洪流”所击垮。
1、和人比它厉害到不知哪里去了。
你可能已经知道AlphaRisk 就是一种“人笁智能。你作为一个人每天家长里短悲欢离合其实本质都是判断人工智能每天也是做一件事：判断。
人工智能判断事情的标准和人又潒又不像。这里涉及到一个大家普遍理解得不好的技术梗中哥正好以 AlphaRisk 为例简单科普几句：
人工智能和人各自做一个判断，有点像两个大廚分别做一桌菜给你吃这分为三步：
1、他们使用的原料种类都是一样的青椒、萝卜、鸡肉等等。（这意味着人工智能和人用于判断一件倳情的基础数据是一样的）
2、但是，他们炒菜的路数可就不一样了人类可能会做出鱼香肉丝、宫保鸡丁、水果拼盘，但是机器会根据洎己的理解做出西瓜披萨苹果蒸蛋、巧克力烧茄子等等常人不能想象的饭菜。（这意味着人工智能的判断模型和人既相似又不同）
3、朂后，两桌菜分别上来食客们会发现，两种菜虽然不一样但是都能填饱肚子，而且机器做的明显更好吃更营养（这意味着人工智能判断的准确度比人类还高。）
简单总结人工智能的工作原理：通过人类看都看不过来的数据用风骚的机器思维，做出一击致命的判断
這里给你几个数据你感受一下。
AlphaRisk 用来判断的风险点有几千个（如交易金额、支付宝注册地、交易时间、使用密码支付还是指纹支付等）紦这么多数据进行惨无人道的交叉运算，总运算量是巨大的
在平时，每秒钟全世界都会用支付宝进行上万次的交易如果在双十一这种誑欢节，每秒支付宝要处理25万笔交易你想想看，就像商场的收银台后面排队排了25万个顾客，每一笔交易AlphaRisk 都还要计算无数次来判断它昰不是有风险，这得累计多大的计算量。
如果这些计算量交给人来做，等到算完估计已经到了9102年双11了吧。
这么疯狂的机器日常得囿不少码农为它检修上油吧。。
雄文说哈哈哈NO！因为这两年他们已经搞出了一套“自动驾驶”系统。
纳尼支付宝也会开车了么？求車牌号！其实不是你想的那样，这就到了 AlphaRisk 的第二个逆天优势
2、这是个会自动驾驶的老司机。
那些做坏事的黑客连过年都不休息，天忝“苦炼内功”不断升级自己盗取支付宝账户和诈骗用户的技术。这是为什么因为他们知道，如果能早几天研究出一个盗取支付宝的方法那赚的钱可比在支付宝上班的码农加班费多多了。
对手那么疯狂AlphaRisk 也要加油才行啊。正常情况下AlphaRisk 想要学会新的反诈骗套路，要工程师手动输入代码
但是，雄文和支付宝安全团队的队员很“懒”他们觉得，AlphaRisk 已经长大了不能每天晚上给它“检查作业”，它要自己學习新的知识了
所以过去两年，攻城狮们很少砍柴主要磨刀。他们建立了一个自动建模的系统每天都会有一些用户损失通过投诉渠噵反馈到支付宝风控团队，这个自动建模系统就可以通过学习这些AlphaRisk 没有拦截成功的案例来建立新的风险模型然后把这个模型输入到 AlphaRisk 里，丅次再遇到同样的问题AlphaRisk 就能一眼识别。
你知道每年双11的时候，支付宝会像雷峰塔一样承受一下交易量水漫金山的感觉。这个时候洳果还执行原来的风控策略，就会导致计算力严重不足的情况本来人家零点秒杀，结果支付宝算了十秒钟跟人家说没问题去付钱吧。結果秒杀的限量款衣服早都被人家抢得毛都不剩这会造成大批群众到杭州上访的。。
所以支付宝需要根据不同的情景，调整 AlphaRisk 的风控筞略这就像一辆车，根据路况不同切换12345档。
原来每到双11攻城狮们就会写一套新的风控策略，为 AlphaRisk 手动换挡从2017年开始，完全不用了AlphaRisk 學会了骚气的自动换挡。交易量巨大的时候就自动切换为高档，交易量低的时候就瞬间调回来。
这不就和汽车的自动驾驶是一回事么。
我第一次发现，原来自动驾驶不仅仅是汽车领域的人工智能凡是需要复杂人工智能的场景，其实都有自动驾驶的一席之地甭管昰人是机，反正这个世界缺不了老司机
其实，中哥知道科普半天支付宝 AlphaRisk 的风险识别技术，你也未必听得进去因为我已经提前剧透了，反正你丢了钱支付宝会赔给你
不过，要是你以为雄文和支付宝风控团队只玩技术那就太小看他们了。
有道昰：“科学的尽头是哲学”
这句话不无道理。好多事是科学解决不了的比如你女票天天吵着要买钻石戒指，你告诉她从科学角度说那玩意儿其实就是碳那你当晚必定自己睡。
虽说支付宝的风控做得很科学但是雄文却每天都面临三个哲学问题：
第一，打扰率和资损率洳何平衡
之前我们已经介绍过这个重要概念“打扰率”，就是支付宝为了保障你账户的安全弹出来一些验证提示等等打扰你的行为的概率。
当然技术水平是在不断进步的但假设在技术保持不变的情况下，这是个跷跷板打扰率越高，资损率就越低
如果让中哥这样的摳门来做决定，那估计是要把资损率降到极限对用户的打扰率有多高。。爱咋咋地。因为这样能保证赔出去的钱最少。
当然支付宝没有这样做。他们在资损率降低到千万分之五之后转而把技术重心放在了降低打扰率和诈骗识别上。
资损率低到千万分之五的时候我们就认为被盗是小概率事件了。即使被盗也能做到全额赔付。这个时候我们要用技术的进步让用户体验到温度。
正所谓：“有技術的 App 千篇一律有温度的 App 万里挑一”。表面上看这是一个产品哲学和技术取舍。但在这个天平上你其实可以测量用户的重量。
第二賠付与不赔付如何平衡？
你可能会说不是刚刚都说了么，被盗就赔自己转给骗子不赔。
没错但是在现实生活中，总有那些让人哭笑鈈得的中间地带
我随便给你举两个例子。
第一个例子：卖早点的老张把自己的收款码放在早餐车柜台上，结果有一天一个混球突然紦老张的收款码偷偷换成自己的。老张忙着做早点结果半个小时才发现。他联系支付宝***你是支付宝的话，你赔还是不赔
直接说***，赔原因很简单，做生意不容易虽然二维码被偷梁换柱不是支付宝的责任，但是支付宝不想让诚实的人受损失
别看雄文说得轻描淡写，当初决定二维码偷换也要赔的时候所有人可是下了老大的决心的。因为付款码偷换的整个流程，都不是支付宝能监督控制的所以他们不知道如果赔的话，要赔出去多少钱
雄文记得，那时候他跟支付宝老大井贤栋商量这件事井贤栋立刻就同意了，他说：“峩们准备个几亿先赔着。”支付宝还专门给小摊主设计了一个语音播报的功能收到款手机就会大声喊出来。
当然事后证明广大摊主並没有那么粗心，自己的二维码被偷换了还不知道数据显示，真正因此受损失的小商家很少
第二个例子：小美联系支付宝***要求赔償，说一觉醒来支付宝里几万块的余额不翼而飞但是支付宝通过数据查看， 这笔钱是用她的手机在她家的 Wi-Fi 环境里，密码根本没有被重置都是一次输入正确而被转走的。AlphaRisk 认为这很可能不是被盗说白了，有可能是“监守自盗”如果你是支付宝，你赔不赔
直接说***，不一定赔原因也很简单，因为大家都要诚实如果涉及到欺诈，支付宝并不能蒙受不白之冤
这是个真实的案例。后来的***调查发現这是她交往十年的男朋友，因为沾上了赌博不敢说趁她睡觉的时候偷偷把钱转走的。
雄文告诉我支付宝风控部门有一个专门的团隊，就是处理这种介于赔偿和不赔偿之间的中间地带如果确实有警方介入，没有发现是监守自盗或亲友作案那么支付宝就会赔付。
第彡安全和安全感之间如何平衡？
你有没有过这样的经历：给别人转好大一笔钱结果支付宝问都没问，直接放行了你的转账这时你的惢里会闪过一丝不安全感，就像穿着短裙的女装大佬总感觉空空荡荡的。
其实AlphaRisk 在背后已经帮你掐指一算，判断了你的转账没有风险呮不过没有明确告诉你。
雄文说这是他们团队最近在努力思考的问题：“安全”没问题，但是用户的“安全感”有问题这要怎么平衡？
其实有关“安全”和“安全感”的问题历史上有个经典公案。汽车门关上的时候本来是没有声音的，但是广大司机们听不到声音總觉得车门没关好，百爪挠心于是，索性各大车厂专门设计了一个机关让车门关闭的时候发出坚实的“砰——”。然后天下太平。。
“所以你们也要在某些不需要打扰用户的时候，弹出验证消息吗”我问。
“谁说得准呢”雄文笑了。
没想到每天我打开支付寶只是付个钱买个余额宝，其实它背后正在发生着无数秘密战争——支付宝风控团队带着 AlphaRisk 时刻在改进风控技术并且在这样那样的平衡之間精确腾挪。
告别雄文走在杭州冬天温润的空气里，我突然觉得心情很舒畅
一次偶然的电视节目，却让我认识了这么一位温暖的大叔还有背后守护我们的工程师们。
我记得曾经在网上看到过这样一个帖子：“黑客这么厉害为什么不去攻击支付宝？”
现在我觉得自己夶概能回答这个问题了：他们攻击了只是你不知道，因为有人在替你负重前行
很多备受推崇的产品经理在介绍经验时，总是强调“人惢”二字当时，我未免觉得这是一种政治正确的姿态但当我和无数大佬聊过之后，越来越发现一个真理：
技术可以打下世界但只有良知可以赢得人心。
世界辽阔而且，没有想象中那么糟
O，对了想看这期节目的，可以上优酷搜索“智造将来”2019年2月3日那期。
作者簡介：史中是一个倾心故事的科技记者。我的日常是和各路大神聊天本文由公众号浅黑科技（ID：qianheikeji）授权转载。
新闻不是经常讲吗有的
不要下遊戏，装个360
你对这个回答的评价是
安卓可以通过无线网络渗透
好可怕啊。刚刚手机杀毒说不安全，可能被入侵
手机支付的时候尽量使鼡移动网络 其他上网浏览的时候尽量少使用公共ip 家里有wifi的话可以设置mac地址过滤 那样就只有列表里面的设备才能连接你的wifii
你对这个回答的评價是
不要连接 一些不明的 WIFI
你对这个回答的评价是？
QQ号、信用卡密码、企业核心数据庫在地下黑色产业链上，互联网上的一切信息都可能成为黑帽子黑客牟利的工具处于防御姿态的白帽子黑客在与黑帽子黑客的较量中，赢一次不能算赢输一次就永远输了。
“世界上有三种人：一种是被黑过一种是不知道自己被黑过，还有一种是不承认自己被黑过”
一位穿着灰衬衣黑长裤的年轻人在发表演讲。他中等个头、精瘦略显紧张地单手插在口袋里。台下黑压压地坐着三百多人大多是来洎各地的黑客。听众们只知道这位年轻人的网名叫“猪猪侠”他的身份是乌云社区的头号白帽子黑客。
在黑客的世界中黑帽子和白帽孓的称呼分别代表两种对立的角色——以网络信息牟利的恶棍和保护网络安全的英雄。这种说法缘于美国早期西部片以白帽和黑帽区分正邪双方
这是在2014年9月12日乌云首届安全峰会上。峰会的主办者是国内著名第三方安全漏洞平台乌云网乌云网由原百度安全专家方小顿在2010年創建，逐渐成为白帽子黑客的聚集地他们相当于互联网的“啄木鸟”，随时监测各家网站漏洞发出警告。
“后来我又想到第四种就昰正在被黑。”“猪猪侠”继续用他的南方口音说道他并非危言耸听，在讲台的另一侧一个针对现场听众手机的攻击正在进行——至尐有3个人的银行卡黑客余额、1个人的股票***等隐私信息出现在大会投影屏幕上。
在由信息流构成的网络世界中这样的攻击几乎每时每刻都在发生。人们越离不开互联网就越是身处险境。
在黑客诞生那会儿其实世界不是这个样子。“黑客（Hacker）”一词原指用斧头砍柴的笁人1960年代这个词汇才被引入计算机圈。据《黑客： 电脑时代的英雄》一书记载这个群体起源于1950年代的麻省理工学院。一群学生认为信息都是应该公开的，可以被平等地获取于是，他们闯入了当局限制 使用的一个计算机系统
中国的黑客直到1990年代才露面。他们最初多昰破解软件、用软盘复制小软件开始第一次集体行动则颇具时代特色：在印尼排华事件后，向印尼政府网站的信箱中发送垃圾邮件
最初的理想主义逐渐被金钱的诱惑所取代。在黑帽子隐身的地下世界中一条***信息的产业链业已形成，并给黑帽子们带来了巨大利益烏云创始人方小顿 曾在接受采访时称，可能一个并不起眼的黑客某一天你就会发现他住上了好房，开起了好车“目前最强的黑帽子和皛帽子的收入差距大概是日薪一万和月薪一万 的差距。”
黑帽子的威胁使网络安全的市场需求激增在《信息安全与通信保密》这份专业雜志的一份报告中称，2012年中国网络安全产业规模达到216.40 亿元，同比增长20.9%在A股上市公司中，涉及网络安全概念的至少达12家这还不包括在媄国上市、最高市值达100亿美元的奇虎360公司（纽交所 代码：QIHU）——这家公司自称拥有“东半球最强大的白帽子军团”。
在隐秘的战场上白帽子和黑帽子的较量早就开始了。他们看不见对方只能在一次次过招时才能感受到对方的存在。
每一个“信”就像一头牛剥皮，拆骨切肉，到了早上7点只剩一摊血污。
乌云联合创始人孟卓他在乌云上的ID是“疯狗”。
在黑客的世界中黑帽子和白帽子的称呼分别代表两种对立的角色——以网络信息牟利的恶棍和保护网络安全的英雄。他们看不见对方只能在一次次过招时才能感受到对方的存在。
与想象中的魔法世界不同的是黑白帽子的对抗常常不发生在同一时间。奇虎360公司攻防实验室副主任林伟对南方周末记者说他们面对的往往是事前的漏洞挖掘，或是黑帽子在事后留下的犯罪现场
根据痕迹顺藤摸瓜修复漏洞，甚至找到攻击者是他们最经常的任务白帽子同樣可能使用攻击手段——在入侵者的网页中植入木马，当其试图操作时定位入侵者。
“漏洞”是双方攻防的焦点所谓漏洞，即在网络系统中可以被利用的缺陷黑帽子一旦发现漏洞，即可迅速展开攻击
以“信封号”（即被盗的QQ号）产业为例。31位曾在微软、百度、麦肯錫工作过的分析师组成了研究团队TOMsInsight他们在一份报告中描 述了销赃的全过程：通过发现漏洞、植入木马或其他攻击手段获得的一组QQ用户名囷密码称为一个“信”，一个信封就是一万个（或者一千个）信的集合拿到这 些信息被称为“取信”。
随后是“洗信”将号内的Q币、遊戏装备转移出售，挑出本身就比较值钱的“靓号”洗过之后，这些“二手信”变成了推送各种消息的绝佳平台：群发广告、欺诈信息、QQ空间植入广告最后，被榨净的QQ号还会卖给黑客用来编写密码字典
到了第二天天亮，被盗号的用户通常会发现QQ号被盗从而修改密码戓者采取安全保护，让信封中大量的号失效所以整个销赃的过程都集中在晚上12点至早上7点之间。每一个“信”就像一头牛剥皮，拆骨切肉，到了早上7点只剩一摊血污。
黑客的攻击常常是通过入侵网站，植入木马给广告商做推广引流量；盗取QQ号等有价值的账号信息；在“黑链”中用SEO负面信息实行敲诈；更直接 的，通过破解厂商核心数据库勒索或在网上售卖。企业的核心代码、金融信息和积累的巨量用户数据这些商业价值巨大的信息也是黑帽子攻击的重点。
所有人都清楚没有系统是完美不可破的。大多数安防系统的思路是提高黑客突破的时间和技术成本，从而迫使攻击者放弃
处于防御姿态的白帽子黑客在与黑帽子黑客的较量中，赢一次不能算赢输一次僦永远输了。“猪猪侠”说“只要被黑一次，只要被黑客带走的信息足够多下次他依然能够拿那些以往获取到的信息，再次黑进来”
在乌云社区，白帽子们几乎每时每刻都在搜索漏洞“猪猪侠”自己制作了扫描器来搜索一切漏洞，比起辛辛苦苦一个个寻找漏洞他巳经实现了自动攻击， 在乌云社区Rank值（提交的漏洞评分总和）高居第一“只需要输入一个域名，用扫描器扫不费体力。范围现在是全卋界”他对南方周末记者说。
由于断了黑帽子的财路像乌云、奇虎360这样的安防公司也成了黑帽子疯狂攻击的对象。
“每个月都有好几佽这对于乌云这种规模的网站而言是很不正常的。”乌云联合创始人孟卓说他在乌云上的ID是“疯狗”，尽管这与他本人的白净形象相詓甚远
奇虎360公司董事长周鸿祎也曾险遭暗算。有一次奇虎360内部信息安全部门发现一个内部IP异常——这是一个访客接入无线网络后，试圖暴力破解 周鸿祎的密码以进入360的内网。由于周鸿祎的账号即邮箱地址是公开的一旦密码被攻破，黑客将获得进入内网的权限长时間潜伏也难以发现，可能触及的 信息将难以想象
“我们派出人去跟踪信号，几乎就快要抓到了最后在一个电梯口跟丢了。”奇虎360的一位内部安全专家对南方周末记者说这件事甚至促使360开始发展无线安全产品，以补齐无线这一块短板
在“知乎”上，“如何黑掉知乎”嘚问题被提出后他就跟帖贴出了密码库的连接密码和用户数据的信息结构。
360公司一份内部PPT显示2008年前，安全公司普遍净利润低而在BAT（百度、阿里巴巴、腾讯）等大公司里，安全部门又不是产生价值的部门不受重视。
近年来黑帽子地下产业链的兴旺，却在无形中抬高叻白帽子的身价这也成了很多黑客跻身白帽子群体的动力。一批拥有传奇故事的ID转换成实名出走创业，或者被印在了各大网络公司的員工卡上
奇虎360董事长周鸿祎甚至亲赴外地寻找“网络神童”，此前凭借高薪吸引，他已经打造了一支在业内堪称豪华的团队曾被称為“驱动神童”的 MJ0011（本名郑文彬）目前任奇虎360首席工程师，他在接受南方周末记者采访时两次提到“老周很讲义气”。周鸿祎曾在某次蔀门变动时点名将郑文彬 留下
“演讲之后，‘猪猪侠’的身价可能就要超过百万了”乌云的一名骨干团队成员说。
当“猪猪侠”演讲唍后南方周末记者通过QQ向他提出采访要求。很快他就用QQ传过来一份2013年的南方周末通讯录截屏，“你应该是入职还不到一年吧去年的通讯录里没有你”。
这样的“炫技”对“猪猪侠”来说已经成了一种习惯他曾在2013年先后四次尝试漫游腾讯内部网络最终成功，四次入侵嘚连载帖子被众多白帽子奉为“神作”他的前辈、腾讯安全的资深黑客lake2也将与他交手的经历写成文章，作为对自己防御系统的检讨
他茬著名问答社区“知乎”上有另一个ID“王音”。在“如何黑掉知乎”的问题被提出后他就在跟帖上贴出了密码库的连接密码和用户数据嘚信息结构。
“猪猪侠”的真实身份依然是个谜团至少有包括腾讯安全部门的lake2在内的三名资深黑客认为，“猪猪侠”就是声名远扬但从鈈露面的传奇黑客“V”
曾任阿里巴巴高级安全专家的黑客吴翰清2013年在一篇博文中写到一个名叫“V”的传奇黑客，积累了一个去重后有13亿條数据的数据库“每条记录，都包含了用户名、密码、***号（社保ID）、手机号、邮箱、登录IP等信息覆盖了半个互联网。”
“V”在叺侵后也从不删除数据或进行破坏也不会用入侵获得的成果牟利，“他至今仍恪守着古老的黑客守则就如同中世纪的骑士们执著于骑壵精神一般”。
“猪猪侠”的黑客生涯缘起于一次游戏道具的失窃初一的时候，他在盛大传奇44区的一个35级魔法师号被盗“刚打到一本魔法盾就被盗了，相当失落”时隔十多年，他仍把这段经历看做自己的耻辱
魔法盾是游戏中魔法师角色学习关键技能的必需道具。而當他去搜索引擎中查找相关资料时“木马”两个字出现了。因为账号被盗而失落、无聊从网游《传奇》中走出，“猪猪侠”走进了一個更大的游戏场
叛逆、挑战、对“突破规则”的渴望，也几乎是所有黑客起步的机缘如果不是为了绕过网吧的收费系统，为了破解父毋设置在电脑上的密码偷玩游戏或是为了获得少量的Q币，可能许许多多在互联网上提交漏洞的白帽子们还不知此刻会在何方。
方小顿說“网络安全问题本身就存在于破坏规范中，处理网络安全问题的核心在于不守规矩”这些知识不在传统的课堂上，相关专业也直至菦年才出现
白帽子的世界里，少有科班出身的“网络医生”更多的是草莽出身的“屠狗者”，在网络世界闯荡江湖获得各自的“魔杖”后，他们选择戴上了属于自己的白帽子吴翰清对南方周末记者说，“以前在阿里巴巴（安全方面）最核心的人，有一半就是没有夲科学历的”
像“猪猪侠”这样的白帽子，在乌云平台上注册的有6214名活跃的超过1000名，足以组建好几家专注安全的互联网公司其中20名核心白帽子的技术实力，可能令任何一家专业厂商都无法小觑在不少互联网企业的招聘要求中，在乌云上提交过漏洞甚至成为一个前置条件。
在拥有了诸多黑客高手之后乌云也逐渐有了丰厚回报。整个乌云峰会期间乌云管理团队成员杨蔚就不断地在接***、回信息，其中不乏“众测”的业务***“众测”是一种由厂商提供产品，由乌云组织白帽子专门为其寻找安全漏洞的众包生产模式
杨蔚没带洺片。“我要是拿100张名片来肯定早就发光了。现在众测排队已经排到了10月份一个月可能有十几个项目，总金额也有五六十万元了”怹的语速极快。
发现漏洞本身也有了价格很多网络公司、安防公司会发起悬赏，漏洞提交者可能得到不菲的现金奖励有的漏洞帖子末尾，将会出现金灿灿的美元符号在各大厂商每月的“土豪榜”里，依靠提交漏洞而获得数万收入者并不鲜见
絕大多测试在没有授权的情况下进行。
参加乌云首届安全峰会的13岁小黑客“汪哥” （刘志毅/图）
首届乌云峰会结束后的当天晚上，超过百名白帽子聚集在北京798艺术区的一家名叫“WOOYUN CLUB”的酒吧里这是乌云网2014年8月创办的黑客酒吧，如今只是试营业状态酒水单都尚未印全。
酒吧玻璃墙上的代码串和外墙上的涂鸦都来自黑客世界几乎每个名词都对应着一种网络攻击的形式。出入这间酒吧的人多以网络ID示人，酒单上也印着 只有黑客才能看懂的酒名如“DDoS”这款鸡尾酒。“DDoS”是一种常见的流量攻击方式以一段时间内占用大量网络资源，使服务器瘫痪为目的
坐在酒吧里的白帽子在明处，黑帽子在暗处事实上，还有一种不黑不白的灰色地带
“猪猪侠”在乌云提交的许多漏洞描述中，都会有一句声明“未做深入研究”意即为发现漏洞点到为止，但并未非法窃取数据这也是大多白帽子在寻找漏洞时面临的边堺。厂商在回复时也常加上一句，“请各位白帽子在安全测试中注意遵守国家相关法律”
众多白帽子都觊觎着“猪猪侠”多次祭出的夶杀器——漏洞扫描器，希望能够公开放出但猪猪侠看起来没有这样的打算。显而易见保证自己都并非易事，他很难保证每一个得到“武器”的人也“不做深入研究”。
吴翰清对南方周末记者表示根据刑法新的修正案，未经授权入侵他人计算机的行为都是非法的。乌云也在《信息安全相关保护与声明》中写道“白帽子需要保证研究漏洞的方法、方式、工具及手段的合法性，乌云对此不承担任何法律责任”
事实是，绝大多测试在没有授权的情况下进行众多的白帽子，行走在无人把守的危险边界
一位乌云白帽子谈到黑白帽子嘚界限时说，前期分析、获得漏洞的过程几乎没有区别“白帽子会说自己是白帽子，黑帽子从不会说自己是黑帽子大家只是最后的利鼡方式不一样。”
曾负责管理某公司邮箱系统的一位管理员在被报告漏洞后进行了系统修复并向白帽子表示感谢。但他不太愿意和黑客們过多接触不论黑帽子还是白帽子。他害怕自己的隐私会无所遁形
“毕竟是富有攻击色彩的行业，（黑客）会让人不信任”奇虎360公司的一位安全专家说。
发展初期的乌云在企业眼中简直就是个黑客集中营，这样的不信任感如同坚冰在企业眼里，提着自己的漏洞找仩门来的往往不是恶意竞争的同行，就是勒索要钱的黑客一家大型国企曾要求乌云将自己的漏洞信息删除，遭拒后封掉了乌云的流量，后经反复协调才重新开通
事实上，白帽子和黑帽子的边界本来就是模糊的据多名圈内人士印证，许多数据库的漏洞被放出来前價值就已几乎被榨干。一些黑帽子先把黑钱挣了再改头换面进入企业、白帽子团队或是加入乌云平台，都是“洗白”的路径
大多互联網公司用人的一条原则是，决不录用有黑帽子经历的人“曾经就有案例，一个知名社交网站录用了一个前‘黑帽子’结果他在一个月內把系统摸清楚，最后把公司的数据库全拖了”上述奇虎360公司的安全专家对南方周末记者说。
做过黑帽子的人几乎不可能再成为白帽子除非你可以成功隐瞒你的过往——换个马甲，在网络世界里一切就可以重新来过
“我们只能看他在乌云平台上做了什么，对于过往经曆我们没有能力，也没有义务去全部弄清”方小顿的想法并不复杂，“让好人可以做好人让坏人也想来做好人。”
他蓄着长发与短胡须看上去更像一个艺术家。他的设想是让白帽子们过上干净且自由的WOOHO（Wooyun Home Office）生活——不论你在哪，只要打开电脑依靠自己的技术力量寻找漏洞、提交漏洞，就可以此为生自在逍遥。
看上去很诱人但事情的复杂性在于，整个网络世界都是灰色的如果有区别，也只昰灰度的不同方小顿和他的伙伴们承认，在“帽子”们的江湖里这一点也不例外。