近段时间，全国各地不少苹果手机的用户通过各种渠道反馈、投诉自己的苹果ID被盗号，绑定的支付平台被恶意盗刷，最高损失已达上万元，不过，似乎苹果方面也没有完全逃避责任，据说部分用户提交资料后已经审核通过，成功拿到退款，但并非每个用户都那么幸运。
首先来说这次盗刷事件的前因后果，众所周知，每个苹果用户都有Apple ID，该ID也是苹果支付账户的唯一识别标志，不过，苹果的支付渠道需要依托第三方工具才能正常使用，其中包括支付宝、微信支付、银行卡等等。也就是说，苹果的整个支付系统牵涉面较广，那么问题来了，这次出现的集体盗刷事件，责任方归谁？
我们注意到，这次事件集中反映了两个漏洞，第一是小额免密码支付，从不少网友的反馈来看，他们不知不觉就开通了这个功能，而这个功能并没有限定免密支付的频次和额度，因此可以被多次盗刷。同时，根据下图所示，对于这一功能，支付宝也有一定的免责声明，所以遇到这种情况，用户应该很难找支付宝负责。
第二个漏洞，按理说如果在其他手机上登录，苹果应当进行提示，或者发验证信息才对，然而，这次盗刷似乎都是发生在其他终端上，而且整个过程几乎毫无障碍。对此，有网友将矛头直指云上贵州。
原则上，这两个漏洞必须同时存在，才会发生盗刷事件。那么经过这次事件，我们应当吸取什么教训？或者说，如何才能避免悲剧再次发生呢？
首先，小额免密码支付功能一定不能再用，这个问题我之前就发文说过，实际上，因小额免密码支付所酿成的悲剧之前已经出现过数起，解决了这个问题，就从源头上堵住了漏洞。而支付宝方面也借此事告知用户可以自行调整免密码支付的月度限额，一旦超过这个限额，小额免密码支付功能将无法使用。
其次，我没用过苹果手机，不过有网友指出，苹果在验证机制上有待完善，没有双重验证，隐患极大。实际上，现在很多厂商为了让用户更方便、高效的进行手机支付，在安全验证方面弱化了很多，殊不知，这给不法分子提供了可乘之机。
说到这一点，笔者想分享一下我使用支付宝的经历，以前移动支付还没那么盛行时，我在余额宝里存了一些钱，为了提升安全性，我平时关闭了支付功能和移动支付功能，同时购买了支付盾。其中，打开支付功能只需手机验证，打开移动支付功能则需要支付盾。后来不知啥时候，支付宝调整了规则，一旦移动支付功能打开就不能再次关闭，也就是说，你要么一直开启要么一直关闭，而一旦开启后，支付盾则形同虚设，因为打开支付功能是不需要支付盾的。
有两次我打开移动支付功能后与客服沟通，由客服反馈到其他部门才将该功能关闭，本以为万无一失，没想到另外一个事情又让我增加了对支付宝安全性的担忧——我老婆经常在他的手机上使用我的淘宝账号购物，和我支付宝进行了绑定，在购物时，系统提醒我必须打开移动支付功能才能完成付款，然后我点打开，竟然没有进行任何验证，包括密码和短信验证就直接打开了。这事儿我也及时给客服进行了反映。由于现在我也不存钱在余额宝中，支付宝里面的钱非常少，所以也没再关注这事儿，不过我今天看了一下，在支付宝的安全设置中，似乎连这两个功能的开关都不见了。
不难看出，移动支付在方便我们的同时，在安全性上必然会有所下降，因此，支付平台应当提供更多的保障措施，最大程度避免用户利益受损，同时一旦账户被盗刷，也应当视情况给予相应的赔偿。
第三，为苹果提供服务的云上贵州有没有问题？根据某些网友的逻辑，如果是苹果的问题，那么全球用户都可能遭殃，但实际情况并非如此。当然，要下结论还需要更多的实锤证据。但是如此重要的服务平台，即便这次能撇清责任，也必须要全面提高安全水平了。
说到这里，我也确实担心云服务在大量普及之后，可能会存在鲜为人知的安全隐患。因为云服务平台掌管大量的信息和资料，如果被攻击，其造成的危害将超乎想象。而且，云服务给用户带来了极大的便利性，这可能会降低用户的安全意识，不知不觉陷入危险之中。
最后，至于责任划分的问题，有网络安全专家认为，只有破案，才能从技术层面进行准确的责任划分，用户的赔偿才能真正落实。这一点很容易理解，正如上面所说，苹果支付牵涉到的是一个非常庞大的体系，出现这样的事情，任何一个组成部分都难逃干系。对于这次的事件，有律师认为苹果公司未尽到异常登录提示义务，构成违约责任理应赔偿。不过苹果似乎对用户存在区别对待的问题，我们对此事将继续保持跟踪和关注。
