漏洞複現：偽裝紅包鏈接實為數據洩露入口

微博用戶「娜小魚兒」點擊好友發來的「新年紅包」鏈接，頁面竟顯示該好友完整紅包收發記錄、提現記錄、銀行卡尾號、姓名、提現時間等極敏感金融信息。雙方緊急解綁銀行卡止損。

根因分析：紅包頁面授權邏輯缺陷

紅包分享鏈接未做權限校驗，任何持有鏈接者均可查看發送者紅包後台數據。微信將銀行卡綁定、提現功能與紅包社交屬性過度耦合，缺乏最小權限原則設計。

騰訊回應與用戶防範

騰訊確認漏洞並緊急修復。用戶應：

• 不點擊不明來源紅包鏈接；
• 定期檢查解綁不常用銀行卡；
• 開啟微信支付指紋/面容/手勢密碼二次驗證；
• 發現異常立即凍結賬號並聯繫客服。