手机与身份证绑定的安全协议被不法分子钻了漏洞/晨报记者 肖允
晨报见习记者 宋韬纬
近日，市民盖小姐遭遇了一起不可思议的盗窃。不法分子利用其两年前遗失的身份证及相关个人资料，假冒其身份到移动营业厅办理了手机卡挂失业务，再通过手机取回密码的方法，通过支付宝悄无声息地转走了盖小姐银行账户内的3万元存款，前后仅耗时半个小时。
对此，上海移动方面回应称，营业厅经办人员按照流程进行操作，但因是人工审核，确实存在被瞒天过海的可能。支付宝方面表示，已对盖小姐的案例进行评估，将由合作的保险公司对盖小姐损失进行全额理赔。
日前，青浦公安也已介入调查。
一月前有人欲办号码过户
一个月前的11月18日，市民盖小姐的手机突然接到一条短信提示，称该号码正在办理手机号过户手续。盖小姐立即拨打了上海移动的客服，将情况转述后，按客服的建议马上到营业厅把号码“抢”了回来。
“可能与我之前丢失钱包有关。”盖小姐回忆，两年前自己钱包被偷，遗失了身份证、银行卡和一些个人相关资料，“钱包内有名片，上面有我的手机号。”
据了解，盖小姐当日将情况向移动客服反映后，接到了上海移动青浦白鹤营业厅工作人员的电话，对方向盖小姐说明了情况：当日下午，曾有两名中年女子持着盖小姐的身份证及一份有盖小姐签名的“委托书”来白鹤营业厅办理手机卡过户手续。青浦白鹤营业厅工作人员告诉盖小姐，来办理业务的女子出示了一张户籍在安徽省安庆市，名叫“陈甜丽”的身份证件。
“关于这些，我全然不知。”盖小姐说。在白鹤营业厅负责人表达歉意后，因为并未受到其他损失，盖小姐本人对此也未太在意，自此一个月时间内风平浪静。
上周一“被办理”号码挂失
上周一晚，盖小姐在办公室加班至晚9时离开。走出办公室，离开公司的无线网络覆盖后，盖小姐发现手机无论如何调试都没有信号，随即用随身携带的另一部手机拨打了上海移动客服热线。
电话那头客服的解释令盖小姐大吃一惊。“客服说，今天我‘本人’持着有效身份证件，在下午4点多到青浦华新营业厅办理了手机卡的挂失补办业务。”盖小姐说。
类似的情况居然在短短一月时间内再次上演。“与上次办理手机卡过户手续不同，这次对方直接办了手机卡的挂失手续。”盖小姐说，手机卡被挂失后，手机信号直接被切断，并未收到任何短信或者电话提示。“这样等于是对方直接‘复制’了我的手机，他可以用我的号码为所欲为。”
半小时内悄然转走3万元
当时已是晚上9时，临近的移动营业厅已悉数关门，盖小姐无奈只能等第二天再去办理业务。到家后，盖小姐准备登录支付宝账户，却发现原账户密码已经失效。
此时盖小姐才意识到大事不妙。当她拨打支付宝的客服热线进行查询时，被告知当天下午5时左右，陈小姐在中国银行的工资卡内，有三笔每笔各一万元的金额通过支付宝“快捷支付”的功能被转出，汇入了他人的银行账号。
[晨报释疑]
“李鬼”如何挂失盖小姐手机卡
红帽女子拿盖小姐身份证“瞒天过海”
这出蹊跷的闹剧源于盖小姐两年前丢失身份证，为何会造成两年后如此剧烈的“蝴蝶效应”?
记者在青浦华新营业厅内，看到了当日下午的监控录像。监控显示，12月16日(上周一)下午4时20分左右，一名身着黑衣、戴着红色绒线帽的年轻女子，在一名黑衣男子的陪同下，来到移动营业厅窗口办理业务。
监控显示，下午4时23分，黑衣女子来到业务办理窗口，递上了盖小姐的身份证。在办理业务的整个过程中，她将帽子拉低，一直都在左顾右盼，似乎在刻意回避与经办人员的目光接触。经办人员按照流程，在设备上查验了身份证信息、并比对了身份证照片和真人的长相，整个挂失补卡过程耗时4分钟。而在华新营业厅开具的业务受理确认单上，前来办理挂失业务的女子赫然冒充了盖小姐的签名。
昨日，记者联系了青浦华新营业厅负责人张先生，他表示案件已由公安跟进，将全面协助公安进行调查。上海移动方面则回应称，营业厅的经办人员在审核时会通过身份验证设备核对身份证资料，接着通过目测比对的方法确认其与身份证照片是否一致。“因为是人工审核，营业厅经办人毕竟不是公安侦查人员，每个经办人员判断能力都不一样，一天要办理那么多业务，难免会出差错。”上海移动回应。
补办手机卡后如何转走3万元
支付宝绑定手机号，修改了支付密码
按理说，即使挂失了手机号码，也不至于能够窃取盖小姐的支付宝，原因何在?
盖小姐告诉记者，自己的支付宝与手机号码绑定，可以手机号为账户名登录，同时为了安全起见，设置了不同的登录密码和支付密码。然而这对已“复制”了盖小姐手机的“李鬼”来说，并不是什么难事。
记者打开支付宝登录页面，点击“忘记登录密码”链接，再次输入账户名及验证码后，即可通过该账户绑定手机检验码取回登录密码。在登录支付宝账户后，在“账户设置”一栏中选择“找回支付密码”，即可通过“手机检验码+证件号码”这一选项来成功获取。
也就是说，“李鬼”持着盖小姐已被挂失的旧身份证，通过挂失补办盖小姐手机卡的办法“复制”了她的手机，在盖小姐的支付宝账户里，接连通过手机取回了其登录密码以及支付密码，轻而易举地用“快捷支付”转走了她银行卡内的3万元。
据此，支付宝客服回应称，已对盖小姐的案例进行了评估，将由合作的保险公司对盖小姐进行全额理赔。支付宝方面称，正开发相应程序，逐步完善密码找回功能。
挂失后旧身份证仍能被“李鬼”使用
挂失后旧证仍能使用，目前常用“目测”审核
“在身份证报失并申领新证后，旧证不会自动失效。”据市公安局人口管理办公室费警官介绍，目前，目测审核仍然是国际上通行的证件审验方法，直观、便捷，能够保证公民最常用证件的使用效率。“身份证上的照片就是防止身份证被冒用的最好标记。证件使用部门只要严格审核，应该是有能力识别出来。”费警官告诉记者，一般需要居民出示身份证的单位，如银行、工商、通讯部门等，大多配备了身份证验证设备，能够读取、审核身份证芯片内的信息是否与持证人的情况一致。据此，完全能够识别出是否是身份证所有人本人，从而有效防止身份证件被伪造、变造等。“如果是代办，需要身份证所有人出示委托书。”用证比较频繁的单位应加强对工作人员审验身份证工作方法的培训。只要用证单位严格审核，应当可以避免冒用问题。
责任如何界定
律师称营业厅负有审核义务应担责
明明不是本人，竟能认成是本人，移动营业厅到底应不应该承担责任?
据此，上海精诚海众律师事务所张旭辉律师认为，在这种情况下，移动营业厅负有不可推卸的责任。张旭辉认为，移动营业厅经办人员应当对手机卡挂失业务的办理人进行仔细审查，移动营业厅负有相关的审核义务。“如果对方使用了非本人身份证前来办理其本人业务并伪造签名，一旦通过，那么责任应由移动方面承担。”
张旭辉同时建议，希望有关部门能加速推进身份证指纹识别的业务。“这样一来，身份证即使遗失，捡拾人也无法冒用，旧证就等同失效。”
