攻擊鏈條：洩露身份信息→補辦手機卡→重置支付寶密碼→轉走資金

央視《東方時空》披露：犯罪團夥利用2013年某網站洩露的身份證/手機號數據，偽造身份證補辦受害人手機卡，利用支付寶「找回密碼」功能（手機驗證碼+身份證號）重置登錄/支付密碼，5分鐘轉走存款。

漏洞核心：雙因子認證同屬「擁有因子」，單點失效即全盤崩塌

手機卡與身份證均屬「你擁有的東西」，一旦身份證被盜、手機卡被補辦，雙因子同時失效。專家建議增加「你知道的」（安全問題/郵箱驗證）與「你是的」（生物特徵/二代身份證非接觸IC卡）因子。

運營商驗證漏洞：中小營業廳缺乏身份證真偽核驗設備

補辦手機卡環節成攻擊弱點。公安部門建議：推廣電子身份證核驗、強化營業廳實名核驗設備部署、建立補卡異常預警機制。

用戶防範指南

• 支付寶綁定隱蔽郵箱作為第三方認證通道；
• 設置銀行卡單筆/單日轉賬限額；
• 手機遺失立即：致電支付寶凍結賬號→凍結綁定銀行卡→掛失手機號→補辦手機卡後重新綁定；
• 定期查詢賬號登錄設備記錄。