淘宝号被盗经历

2015年7月27日登录淘宝发现无法登录，找回密码的时候发现淘宝账号绑定的手机和保密邮箱都被换了。在淘宝网申请人工找回密码失败，打淘宝客服电话0571-88158198找回密码失败，提示如下:

【淘宝网】很抱歉，信息核实不通过无法修改账户绑定信息。 如您原绑定手机停用需修改，请您仔细回忆账户信息后，点击淘宝网页右上方“联系客服—自助服务—申请人工审核—立即开始”申请人工审核更换手机。

淘宝客服让我重新申请个号，我不愿意，她让我打支付宝电话95188，验证身份后绑定了手机和保密邮箱，并与淘宝账号进行了重新绑定，大约两小时后给我发了短信，让我验证保密邮箱，验证后我在淘宝网找回密码，重新绑定了手机和保密邮箱，完善了支付宝得相关安全设置。上号后发现盗号的把我免密支付的支付宝钱包里的钱全部转走了，而且还买了不少东西，有几个东西还在物流途中，我就点了申请退款。看了下收货地址:江苏省徐州市新沂市新安街道轻工路东40巷16号 陈阳 邮编221400，手机13225259007。

7月28日，手机突然接到短信:

【阿里巴巴集团】您已修改手机，186********的帐户服务已停止。如有疑问，请致电客服。

我知道盗号的正在取消我的手机绑定，然后上号通过身份证+手机验证码找回密码，取消他绑定的131****707的手机绑定，过程中他也在重置密码，于是我开启了登录保护，淘宝网登录的时候必须同时输入手机验证码才能登录。

那么问题来了:

1.我找回密码后，已经绑定好了自己的手机和保密邮箱，那么盗号的是怎么能够添加绑定的手机号的？猜测他是通过在淘宝网上找回密码的时候提交人工审核，或者是打淘宝客服电话增加绑定的手机号，那么淘宝客服无形中是在帮了盗号的忙。

2.我取消了他的手机绑定，重置密码后，他也能够再次重置密码，那么是不是因为短信验证码的失效性太长了？15分钟盗号的能够做很多事情。

3.我给支付宝客服打电话，提交了转账的异常交易流水号，他们很快就锁定了转入转出的支付宝账号，既然知道了支付宝账号，支付宝为什么不采取措施直接冻结盗号的支付宝账号？

4.淘宝客服说手机一旦绑定就不能取消，只能更换绑定的手机号，那么找回密码的时候为什么能够在自己的手机和盗号的手机和常用手机号中三选一？能够同时绑定两个手机号？工商银行曾经碰到这样的问题，注销的手机号被人重新使用后造成账户被盗，后来工行e支付只允许绑定一个手机号。淘宝肯定也意识到淘宝账号存在安全漏洞，所以强迫用户必须绑定手机号，然而这又带来了新的问题，如果手机丢了，就等于淘宝账号丢了，因为捡到手机的人只需要手机验证码和身份证号就能轻松找回密码，身份证号能够从一些购票软件中提取出来，也就是说，不需要任何的安全问题，姓名什么的就能重置密码，支付宝又是和手机绑定的，支付宝也就丢了，免密支付和快捷支付的钱也就会丢。

5.淘宝网的密码采用的是直接键盘输入，没有象网银那样采用加密的动态键盘，本身就存在安全隐患，这也就罢了，但是淘宝账户在浏览器登录后默认保存账户名和密码的，浏览器退出后也不清空，这会造成在宾馆网吧等环境登录过的会有被盗的风险。事实上我回头看了下保密邮箱，早在一个月前淘宝网就给我邮箱发信称可能存在异常登录现象，我曾经在宾馆和自己的电脑网页版都登陆过，是中了木马的原因还是淘宝网体系本身有安全漏洞，没人能够说清楚，因为盗号的在暗处，我们在明处，他们别有用心地采取什么手段，一般用户真是防不胜防。

从这次号被盗的经历来看，淘宝网运转换体系的安全性以及对于盗号的后续处理真的有待提高。

搜索了下淘宝号被盗的经历，大都类似。

第一次被盗可能是因为中了木马或者钓鱼网站，身份证号码肯定是被盗号的取得了。

那么第二次被盗就是淘宝的问题了，因为淘宝找回密码的时候有个选择项：交易中常使用的手机，然后输入盗号的手机+身份证号就行了。



还有个可能就是通过人工服务找回，需要提供的资料稍微多点。



我通过淘宝在线客服反馈，并且在淘宝反馈问卷上反馈，https://ur.taobao.com/survey/view.htm?spm=0.0.0.0.NmGBI9&id=1703
2015年8月12日，试了下找回密码，淘宝网已经取消了通过“常用手机号”找回密码的方式，如下图：