据“封面旧事”报道，国际某领取平台的“人脸辨认”零碎存在严重破绽，黑产人员只需在黑市上买到公民的身份证照片、持证照、手机号码、银行卡号等信息，就可以经过修正账户密码和换绑手机账号的权限，刷走账户上的一切余额。

目前，据雷锋网 (大众号：雷锋网) 理解，宜宾警方已将盗刷别人账户28万多元的周某、杨某抓获归案。

在说这个案子前，让我们先来看看假如遗忘密码时，“人脸辨认”认证需求哪些操作。

1.需求用手机摄像头对着操作者，拍下操作者的正面静态照片，停止零碎审核。

2.零碎再主要求操作者将手机摄像头对着本人，依照指令作出“眨眼”、“摇头”、“张嘴”等举措，同时停止摄像，完成之后，零碎会自动评价。

3.假如照片、视频契合零碎要求，便取得修正领取平台账户密码的权限，一旦修正完成用户的登录密码，再换绑为本人可以接纳短信的一个手机号码，黑产者可以将用户领取平台账户内的余额转走。

在这个进程中，我们可以发现，只需黑产从业者晓得了你的账户称号，并拥有了你的身份证照片、视频，就有了更改密码、再重新绑定别的手机号码停止盗刷的能够。

这时，不少人会问，即便黑产者拿到了我的身份证照片，视频他总没法拿到吧？

但现实是，所谓的“眨眼”、“摇头”、“张嘴”等举措，基本不需求证明你是你，只需证明你是“活的”即可！

正是应用这个破绽，周某和杨某开端了他们的盗刷之路，以下是他们的作案步骤。

1.找到“料商”。经过参加QQ群联络“料商”购置公民个信息，如手机号、身份证照片、银行卡号等。

2.找到“卡商”。让卡商为本人提供换绑手机号的号码，并且接纳短信验证码，为本人施行立功作预备。

3.用手机自拍一张半身照，运用PHOTOSHOP将购置的公民面部照片分解到自拍的半身照下面。

4.用手机对着本人录制一些“张嘴”、“摇头”、“眨眼等举措”的小视频， 将照片和视频存在PC电脑中。

5.经过在手机上登录该领取平台，输出别人的账号(即公民信息材料中的“手机号码”)，然后在零碎提示下 点击“遗忘登录密码”，再选择输出注册身份证号码，之后选择人脸校验。

6.将事前预备好的分解照片从电脑上翻开，再将手机摄像头对着分解照片，完成第一步静态人脸辨认，然后再依照零碎的指令，在电脑上播放事前录制好的视频片段，播放时依然将手机摄像头对着电脑屏幕，完成第二部静态验证。

零碎仅会对第一张静态人脸照片停止辨认，因而经过受益人的分解照片认证就可以经过校验，零碎不会对第二次的静态视频再停止校验，只需识别视频中的人是可以活动的活体。

7.此时账号密码曾经修正完成，开端停止换绑手机号。经过QQ联络卡商，卡商发来一组手机号码(16个或32个号码为一组)，嫌疑人随机选择一个手机号码，将该手机号码绑定在受益人领取平台账户上，在此进程中，领取平台零碎会发送验证码短信至新绑定的手机号码外面，嫌疑人经过QQ聊天向卡商索要短信验证码，完成更改账户密码、手机绑定操作。

这时，半途而废，周某就可以经过短信验证码将受益人的账户余额转走。

为了销赃灭迹，他们还将盗刷资金转移到某赌博网站上，经过在网站内玩“PT老虎机”等赌博游戏停止洗钱，再将资金转入到本人运用的银行卡账号内。

目前，周某杨某曾经抓捕归案，据封面旧事报道，该领取平台已修复了这一破绽。

参考来源：封面旧事

雷锋网版权文章，未经受权制止转载。概况见。