日前，廣西南寧市興寧區(qū)法院審理了一起特殊的盜竊案。被告人趁其前女友昏睡時(shí)，先后通過(guò)指紋和人臉驗(yàn)證，從女子手機(jī)中多次轉(zhuǎn)走共計(jì)15萬(wàn)余元。在不知道手機(jī)解鎖和支付密碼的情況下，被告人是如何作案成功的呢？
女子昏睡被扒眼皮解鎖支付寶轉(zhuǎn)走15萬(wàn)
案件發(fā)生在2020年12月26日，被告人黃某輝以商量還錢的名義來(lái)到前女友董某家中，看到董某正在生病，還主動(dòng)做飯喂藥。然而，讓董某沒(méi)想到的是，喝完黃某輝親手沖泡的“感冒藥”，很快就感覺(jué)不適，不得不回屋睡覺(jué)。
南寧市興寧區(qū)法院刑事審判庭法官 李到福：（黃某輝利用）沖感冒藥的時(shí)機(jī)，在廚房里面把他購(gòu)買的迷藥倒進(jìn)水中，董某飲用約一個(gè)小時(shí)后，她就感覺(jué)有點(diǎn)異常，頭暈。
客廳視頻顯示，董某進(jìn)臥室昏睡后，黃某輝在客廳里來(lái)回翻找董某手機(jī)。半個(gè)多小時(shí)后，黃某輝手拿兩部手機(jī)從臥室走出，其中一部就是已經(jīng)解鎖的董某手機(jī)。對(duì)著手機(jī)多次操作后，黃某輝帶著這部手機(jī)連夜離開(kāi)了董某的家。
南寧市興寧區(qū)法院刑事審判庭法官 李到福：被告人黃某輝利用被害人董某昏睡的時(shí)期，用她的手指將她的手機(jī)進(jìn)行了解鎖，用手扒開(kāi)董某的眼睛，登錄到被害人董某的支付寶里面，并且在里面修改了相關(guān)的（支付）密碼，在支付寶里面進(jìn)行轉(zhuǎn)款。
次日凌晨，董某醒來(lái)，發(fā)現(xiàn)黃某輝和手機(jī)都不見(jiàn)了蹤影，立即報(bào)警。警方查明，黃某輝當(dāng)晚分多次從董某的花唄、借唄、支付寶余額和銀行卡轉(zhuǎn)走人民幣共15.41萬(wàn)元。近日，南寧市興寧區(qū)人民法院對(duì)該案作出一審判決，黃某輝因犯盜竊罪被判處有期徒刑三年零六個(gè)月，并處罰金人民幣兩萬(wàn)元，責(zé)令其退賠被害人董某全部經(jīng)濟(jì)損失。
記者驗(yàn)證被扒眼皮能否轉(zhuǎn)賬
本案中，黃某輝就是通過(guò)支付寶趁董某昏睡時(shí)，完成了一系列轉(zhuǎn)賬盜竊行為。在不知道登錄和支付密碼情況下，真的可以翻開(kāi)機(jī)主眼皮轉(zhuǎn)賬嗎？記者找來(lái)了多款手機(jī)，進(jìn)行驗(yàn)證。
記者找來(lái)了四款具備人臉識(shí)別功能的手機(jī)，全部輸入同事的人臉和指紋信息。記者注意到，其中一款上市定價(jià)千元左右的安卓手機(jī)，在添加人臉時(shí)就明確顯示，該手機(jī)采用的是2D人臉識(shí)別技術(shù)，并提示：人臉識(shí)別安全性低于圖案密碼、數(shù)字密碼、混合密碼和指紋。
首先進(jìn)行手機(jī)解鎖的測(cè)試。記者讓同事平躺閉眼，并在眼皮被動(dòng)翻開(kāi)時(shí)，有意不看手機(jī)屏幕，模擬人的睡眠無(wú)意識(shí)狀態(tài)。試驗(yàn)發(fā)現(xiàn)，當(dāng)同事眼皮被動(dòng)翻開(kāi)后，手機(jī)屏幕很快就順利解鎖。
同樣方式，記者接著驗(yàn)證了兩款上市定價(jià)分別為3000多元和6000多元的安卓手機(jī)，還有一款定價(jià)近萬(wàn)元的蘋(píng)果手機(jī)。記者發(fā)現(xiàn)，無(wú)論如何變化角度，多次翻動(dòng)同事眼皮，這三款手機(jī)都無(wú)法解鎖。
記者發(fā)現(xiàn)，打開(kāi)指紋解鎖功能的手機(jī)，在機(jī)主熟睡狀態(tài)下，都可以通過(guò)貼近手指解鎖。如果熟人偷窺開(kāi)機(jī)密碼解鎖了手機(jī)，在不知道支付寶登錄和支付密碼情況下，能否轉(zhuǎn)賬成功呢？記者繼續(xù)用這四款手機(jī)進(jìn)行手機(jī)支付的驗(yàn)證。結(jié)果發(fā)現(xiàn)，在登錄支付寶時(shí)，系統(tǒng)提示可以使用刷臉驗(yàn)證身份，并要求被驗(yàn)證人眨眼。記者像剛才一樣翻開(kāi)模擬睡眠狀態(tài)的同事眼皮，隨后放下，意想不到的是，四款手機(jī)全部通過(guò)了人臉加眨眼的驗(yàn)證，成功登錄支付寶。
案件中，黃某輝通過(guò)翻開(kāi)被害人眼皮登錄支付寶后，為方便多次轉(zhuǎn)賬，還直接修改了支付密碼。記者繼續(xù)驗(yàn)證，在支付寶里點(diǎn)擊修改支付密碼，選擇不記得此前支付密碼，就直接進(jìn)入和找回登錄密碼一樣的人臉驗(yàn)證界面。記者翻動(dòng)同事眼皮，四款手機(jī)無(wú)一例外也都通過(guò)了驗(yàn)證。
一旦修改了支付密碼，通過(guò)支付寶就能輕而易舉實(shí)現(xiàn)多次轉(zhuǎn)賬。對(duì)于案件暴露出的刷臉支付風(fēng)險(xiǎn)，支付寶是否知曉呢？記者撥通了支付寶客服的電話。
支付寶客服：人臉識(shí)別，它都是用一個(gè)活物識(shí)別，別人在您睡覺(jué)的時(shí)候去進(jìn)行一個(gè)掃臉的話，正常情況下是沒(méi)有辦法通過(guò)的。這種案件出現(xiàn)，大多數(shù)不是因?yàn)橹Ц秾毜陌踩袉?wèn)題，它主要是他人操作過(guò)她的（手機(jī)）。
手機(jī)一旦被別人操作，其他支付類軟件是否也能被翻眼皮支付或轉(zhuǎn)賬呢？記者用四款手機(jī)測(cè)試微信發(fā)現(xiàn)，定價(jià)6000多元的安卓手機(jī)和新款蘋(píng)果手機(jī)，向好友轉(zhuǎn)賬可以使用面容支付，遇到的是和手機(jī)解鎖一樣的人臉驗(yàn)證界面。記者翻開(kāi)同事眼皮多次嘗試，都無(wú)法通過(guò)驗(yàn)證。而兩款定價(jià)較低的安卓手機(jī)雖然也支持面容解鎖，但微信支付中只能選擇指紋和密碼兩種方式。記者選擇指紋支付，用手機(jī)輕觸同事手指后，輕松實(shí)現(xiàn)成功轉(zhuǎn)賬。若想修改微信支付密碼方便多次轉(zhuǎn)賬，四款手機(jī)顯示的界面一樣，只能輸入原支付密碼，而且都不提供刷臉或指紋的驗(yàn)證方式。
記者也隨機(jī)測(cè)試了幾款銀行APP，發(fā)現(xiàn)在銀行APP轉(zhuǎn)賬支付時(shí)，也都不支持面容和指紋支付，如果不知道取款密碼，均無(wú)法順利轉(zhuǎn)賬。其中部分銀行APP登錄時(shí)驗(yàn)證就十分嚴(yán)格，即使通過(guò)了手機(jī)驗(yàn)證碼驗(yàn)證，還要進(jìn)行人臉識(shí)別，并要求完成眨眼、搖頭和張嘴三項(xiàng)動(dòng)作。記者讓同事假裝熟睡，多次嘗試被翻眼皮或被動(dòng)轉(zhuǎn)頭，都不能通過(guò)驗(yàn)證，更何況人在睡眠狀態(tài)下，很難被動(dòng)完成三個(gè)動(dòng)作而不被驚醒。
刷臉指紋支付須兼顧便利性和安全性
為什么人在無(wú)意識(shí)狀態(tài)下，被動(dòng)翻眼皮可以解鎖？不同的支付軟件為何會(huì)采用不同的驗(yàn)證方式？如何讓刷臉支付更安全？來(lái)聽(tīng)聽(tīng)專家的解讀和建議↓↓
田天是清華大學(xué)人工智能博士，一直致力于人工智能安全技術(shù)提升。他告訴記者，無(wú)論是低價(jià)位手機(jī)使用的2D人臉識(shí)別技術(shù)，還是具備3D人臉識(shí)別技術(shù)的中高端手機(jī)，都可能出現(xiàn)被動(dòng)翻開(kāi)眼皮通過(guò)人臉驗(yàn)證的情況。
人工智能專家 田天：人臉識(shí)別技術(shù)其實(shí)是通過(guò)算法去提取人臉的一些關(guān)鍵信息，眼睛、鼻子、嘴巴等周圍的區(qū)域會(huì)存在更多的關(guān)鍵點(diǎn)，所以其實(shí)如果在人臉識(shí)別過(guò)程中出現(xiàn)這種面部，臉頰或者額頭上有一些干擾的話，可能對(duì)于身份識(shí)別并不會(huì)產(chǎn)生特別大的影響。
正因如此，目前大多軟件會(huì)在人臉識(shí)別基礎(chǔ)上，增加活體驗(yàn)證技術(shù)，就是需要做出點(diǎn)頭、眨眼、搖頭的動(dòng)作。一般來(lái)說(shuō)，需要驗(yàn)證的動(dòng)作越多，被突破的難度越大。據(jù)介紹，記者驗(yàn)證的相對(duì)高端的手機(jī)，無(wú)法通過(guò)被翻眼皮解鎖，核心是加入了注視檢測(cè)技術(shù)。被測(cè)試人在被動(dòng)翻開(kāi)眼皮時(shí)，模擬睡眠狀態(tài)，避免視線直視屏幕，所以無(wú)法解鎖手機(jī)。
人工智能專家 田天：當(dāng)前的人臉識(shí)別技術(shù)，我們要增強(qiáng)它的安全性，其實(shí)是需要綜合的一些手段，把各種各樣的方式結(jié)合起來(lái)，比如去判斷我的眼球，或者我的注視點(diǎn)有沒(méi)有盯著當(dāng)前這個(gè)設(shè)備，可以一定程度上增強(qiáng)在這個(gè)非配合情況下的安全性。
專家表示，理論上，驗(yàn)證技術(shù)環(huán)節(jié)越多，安全性越高。但在實(shí)際操作中，如果將安全等級(jí)調(diào)至最高，重重認(rèn)證，必定會(huì)讓便捷性受到影響，用戶體驗(yàn)大打折扣。相比銀行APP，支付寶在活體驗(yàn)證時(shí)只有眨眼一個(gè)動(dòng)作，微信在部分型號(hào)手機(jī)只驗(yàn)證指紋就能轉(zhuǎn)賬，除了技術(shù)路線的區(qū)別，也有市場(chǎng)策略的選擇。
清華大學(xué)人工智能國(guó)際治理研究院副院長(zhǎng) 梁正：像這種支付的應(yīng)用，它一定要做到安全性和便捷性之間的一個(gè)平衡，如果特別復(fù)雜，那干脆我就不用了，我可以用其他的。
梁正是清華大學(xué)人工智能國(guó)際治理研究院副院長(zhǎng)，長(zhǎng)期關(guān)注人工智能推廣應(yīng)用中的公共政策。他告訴記者，2021年11月1日正式實(shí)施的《中華人民共和國(guó)個(gè)人信息保護(hù)法》明確規(guī)定，“通過(guò)自動(dòng)化決策方式作出對(duì)個(gè)人權(quán)益有重大影響的決定，個(gè)人有權(quán)要求個(gè)人信息處理者予以說(shuō)明，并有權(quán)拒絕個(gè)人信息處理者僅通過(guò)自動(dòng)化決策的方式作出決定”。手機(jī)支付作為影響個(gè)人財(cái)產(chǎn)安全的重大決定，支付軟件不能自動(dòng)化決策，只提供刷臉或指紋這一種方式，目前支付寶、微信有刷臉、密碼和指紋等多種驗(yàn)證方式供選擇，是符合《個(gè)人信息保護(hù)法》規(guī)定的。但是具體到使用刷臉驗(yàn)證這一場(chǎng)景時(shí)，是否要張嘴、搖頭或注視檢測(cè)等多項(xiàng)驗(yàn)證，法律并沒(méi)有詳盡規(guī)定。專家建議，針對(duì)刷臉驗(yàn)證的具體方式和環(huán)節(jié)，軟件也可以設(shè)置不同安全等級(jí)，讓用戶根據(jù)需要自主選擇，而不是被動(dòng)地接受軟件設(shè)置。
清華大學(xué)人工智能國(guó)際治理研究院副院長(zhǎng) 梁正：法律不可能規(guī)定這么細(xì)，要跟行業(yè)的實(shí)踐緊密結(jié)合。在使用（刷臉支付）的時(shí)候就要有一個(gè)風(fēng)險(xiǎn)提示，是不是要設(shè)置這樣更高的安全等級(jí)。作為一個(gè)前置性要求，（意外損失后）是不是還能夠提供一種救濟(jì)方案，我覺(jué)得這個(gè)行業(yè)、業(yè)界還是可以去考慮。
專家強(qiáng)調(diào)，人臉識(shí)別同密碼、指紋等傳統(tǒng)身份認(rèn)證技術(shù)一樣，都存在一定被攻破的概率，現(xiàn)階段尚不存在百分之百安全的技術(shù)。對(duì)于安全風(fēng)險(xiǎn)比較高的用戶，或者在浴室、美容院等公共空間休息的特定場(chǎng)景，可以徹底關(guān)閉手機(jī)設(shè)置中的刷臉和指紋識(shí)別功能，從而在解鎖手機(jī)和支付驗(yàn)證時(shí)，不會(huì)出現(xiàn)刷臉和指紋的選項(xiàng)。
人工智能專家 田天：跟熟人在一起的時(shí)候，也要有相應(yīng)的安全意識(shí)。一方面，我們要從技術(shù)的角度去增強(qiáng)它的安全性。另外一方面，也需要大家的安全意識(shí)逐步提升起來(lái)。
編輯|程鵬 易啟江
校對(duì)|盧祥勇
封面圖片來(lái)源：視頻截圖
本文首發(fā)于微信公眾號(hào)：每日經(jīng)濟(jì)新聞。文章內(nèi)容屬作者個(gè)人觀點(diǎn)，不代表和訊網(wǎng)立場(chǎng)。投資者據(jù)此操作，風(fēng)險(xiǎn)請(qǐng)自擔(dān)。
最新評(píng)論