駭客揭露微信「重設密碼」流程存在邏輯漏洞：驗證碼僅 4-5 位純數字（範圍 1000-20000），且伺服器僅對手機號碼純數字部分做頻率限制，未過濾特殊字元。攻擊者在手機號後附加非數字字元（如 18666666666#）繞過頻率檢查，伺服器驗證時又只取數字部分比對驗證碼，導致可無限重試。50 條執行緒 3 分鐘即可嘗試 19,000 組驗證碼，成功重設任意帳號密碼。

微信功能模組

微信重設密碼

重設密碼過程介面

重設介面

輸入密碼

封包代碼

修改密碼成功

網友與「小馬哥」開玩笑

重設成功

駭客實測修改柳巖經紀人、騰訊高管（含馬化騰）微信密碼，並查看離線訊息獲取好友 QQ 號。漏洞已向騰訊回報並修補。修補方向：增加驗證碼長度與複雜度、嚴格手機號格式檢查、引入圖形驗證碼/設備指紋/行為分析等多因子驗證。

此案例警示：簡單數字驗證碼極不安全，開發者務必在「檢查頻率」前完成輸入淨化，並實施多層防暴力破解機制。