1月10日，社交网络被支付宝的安全漏洞事件刷屏，不少用户晒出自己“攻破”熟人支付宝的截图。随后，支付宝发声明称，10日上午已经提高了风控系统的安全等级，目前这一漏洞已经被堵上。

网上流传的“攻破”支付宝方式为：打开支付宝登陆登陆界面——输入熟人的支付宝账户（一般为手机号或者邮箱号）——点击忘记密码（支付宝随后会向手机号发送验证短信）——点击无法接收短信——支付宝界面出现识别熟人近期购买物品、识别好友的验证（均为9张图选1）——验证通过后即可修改登录密码。

这意味着，只要熟知好友近期的购买行为和关系圈，就可以登录并修改好友的支付宝登陆密码；对于陌生人而言，也有1/81的概率登陆他人的支付宝账户。

支付宝随即发布官方声明称，这一方式仅在特定情况下才会实现。对于部分暂时无法收到短信的用户，或者更换移动设备的用户，支付宝的风控系统会进行评估（比如账户信息完整程度、网络环境等因素）。在安全系数较高的情况下，才让用户回答一系列安全问题，只有在回答正确后，才能修改登录密码。

支付宝还称，这一策略只能找回登陆密码，仅通过回答安全问题并无法找回支付密码。且一旦用户支付宝在其他设备被登陆，本人设备会收到通知提醒。

据腾讯财经了解，出于安全考虑，支付宝的登陆密码与支付密码不得一致。但随着用户对支付便捷性的要求越来越高，小额免密支付的应用也越来越广。支付宝用户可以选择开通小额免密支付，并且自行设定200元/笔——2000元/笔的免密支付额度，即不需要支付密码即可完成支付。

10日中午时分，腾讯财经尝试登陆一位好友的支付宝，在点击无法接收短信后，出现的并不是识别该好友近期购买商品的界面，而是要求输入该好友绑定的 银行 卡号码。

支付宝在声明中表示，在接到网友反映后，已于1月10日上午提高了风控系统的安全等级。目前仅在用户自己的手机上，才能通过识别近期购买商品以及识别本人好友来找回登陆密码，通过其他手机设备无法应用这一方式找回登陆密码。

Gartner：首席信息安全官必须评估风险并鉴别“真实的”安全预算

Gartner,安全预算