作者Sheng98 (贱狗的窝)
看板MobilePay
标题[新闻] 首例！嘉义妈妈遭冒名绑走数位5倍券 超
时间Mon Sep 27 21:33:10 2021
首例！嘉义妈妈遭冒名绑走数位5倍券 超商预订被打枪大惊报案
记者翁伊森／嘉义报导
纸本五倍券25日开放预订，嘉义地区传出民众五倍券被冒用绑定！王姓妇人上网发文表示
，自己26日前往超商想预订领取，机台却跳出「不符合数位共同绑定人资格」、「已数位
绑定」，让她超纳闷，她确定家人并没有帮忙绑定，怀疑是友人冒名申领，已向警方报案
。报警後，警方一查也傻眼「真的是全台第一个被冒用绑定五倍券的人！」
https://cdn2.ettoday.net/images/5901/d5901720.jpg
▲ 民众的五倍券被冒用绑定 。（图／翻摄自爆料公社公开版）
https://cdn2.ettoday.net/images/5901/d5901721.jpg
▲ 民众的五倍券被冒用绑定，不能更改为纸本领取 。（图／翻摄自爆料公社公开版）
王女表示，在脸书《爆料公社公开版》贴文，说她想预订自己的纸本五倍券时，机台却显
示「不符合数位共同绑定人资格：已数位绑定（5001）」的通知，再进一步查询则跳出「
数位主绑人不得更换纸本（5008）」，「昨天带着女儿去全家要绑定五倍券，已经跟家人
确认过了，不是家人绑定的。
嘉义第二分局侦查队长李思莹表示，王姓被害人怀疑她的朋友，警方厘清案情并深入调查
相关涉案人，警方强调冒领五倍卷将涉妨碍电脑使用罪及伪造文书。
警方呼吁，登记领取五倍券务必循国家官方网站不要点选来路不明网路或网站，避免被冒
领的风险。
https://cdn2.ettoday.net/images/5901/d5901722.jpg
▲民众的五倍券被冒用绑定，已向警方报警。（图／翻摄自爆料公社公开版）
https://www.ettoday.net/news/20210927/2088407.htm
里面有影音新闻, 看影音新闻比较清楚
我看完之後他是说被绑定到 LPM 下 (上面也有图片显示是绑在 LPM)
因为我已绑完其它支付, 所以无法重绑定到 LPM
但以 LPM 的绑定所需资料来看, 本来需要填 LPM 帐户号码的
後来只要有身分证字号, 门号验证登入看要绑定 LPM or 一卡通
然後再选择出生年月日和 e-mail, 再来是不是还要需要什麽验证就不晓得了
不过要知道这些资料除了熟人以外, 资料外泄部分就有待保留
而且用 LPM 绑定的话, 绑定者本身也要先申请过 LPM 才能绑
反而熟人的机率更高吧?
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 220.143.157.64 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MobilePay/M.1632749593.A.186.html
1F：→ BBFish55: 冒用这个的真是阿呆，都实名领取的，跑都跑不掉 09/27 21:45
用钓鱼的方式查该 LPM 交易地点可能比较有效率
2F：推 edison901: 绑LPM有啥用？还是用不到阿？难不成有他的LPM? 09/27 21:56
用不到? 很多地方可以用 LP 就可以用 LPM
现在这种状况就不知道是哪里出问题了
3F：→ LoveEunha: 啊还要用她的LPM消费才行吧 09/27 22:03
我看懂二楼说的了
如果用不到被盗绑的人的 LPM, 这样算是恶作剧?
又或者是有其他原因造成被误绑?
4F：推 pchunters: 笑死，这个随便抓就抓到嫌犯了 09/27 22:12
5F：→ lastblade008: 所以她到底有没有在用LPM ? 如果没有 那就是有人拿 09/27 22:13
6F：→ lastblade008: 到她的资料 还要通过金融认证 多半是认识的吧 09/27 22:13
不知道会不会有後续报导, 但我比较想要知道 LPM 绑定输入资料完後
是否有类似回传门号简讯的认证, 又或者是资料填完就算绑定成功?
稍微测试了一下, LPM 第一页输入身分证字号和电话号码的完全没有做过验证
输入不存在的身分证字号和电话号码可以进去选择绑定 LPM or 一卡通卡片
如果是选择绑定 LPM 的话, 再来要输入生日和 e-mail
这两个输入完後 LPM 会验证该身分证字号是否有办过 LPM
没办过的话就无法验证通过
https://i.imgur.com/WW40CtY.png
所以只要知道正确的身分证字号/电话号码/生日 可能就可以绑定过去
(e-mail 不知道要不要正确, 如果要正确的话那资料取得也太容易)
而且被绑的人本身也要有申请过 LPM (说不定有申请 LPM 但不想绑就只想拿纸本)
也许要朝熟人所为去查了吧
7F：推 Feishawn: 好像输入完就会被绑定了 09/27 22:29
8F：→ Feishawn: 我弟的原本已经用共同绑定，想说打开LPM看看绑定方式 09/27 22:29
9F：→ jtch: 很大机会是自己人 那就不会有後续了 09/27 22:29
10F：→ Feishawn: 然後资料输入完就出现绑定完成 09/27 22:29
用共同绑定再去主绑 LPM 反而出现绑定完成?
11F：推 pchunters: 真假，line绑定这麽容易喔？ 09/27 22:32
12F：→ lastblade008: 那不是重点 只有2个可能1.被别人开LPM帐号 要通过 09/27 22:33
13F：→ lastblade008: 金融验证 2.他本人有用LPM 但每次使用LPM都要密码 09/27 22:33
14F：→ lastblade008: 而且line被别人手机登入使用 他会不知道? 应该不是 09/27 22:33
15F：→ lastblade008: 漏洞 09/27 22:33
16F：→ lastblade008: 以上2个可能 如果是被人主绑 很扯 应该是熟人 如果 09/27 22:40
17F：→ lastblade008: 是被绑 一定要他本人健保卡 09/27 22:40
以新闻内的照片是说主绑, 主绑的话就不需要健保卡, 只要知道三到四个资讯
以及被绑人本身有办过 LPM (如果 LPM 办到一半没完全过金融验证也不会有 LPM 帐户吧)
那後面可能就是警方要去调查被绑人身边的亲朋好友了
18F：→ q2520q: 我记得有另外一个案例，只是另一个案例是认识的人盗用就是 09/27 22:48
19F：→ q2520q: 了 09/27 22:48
我白天好像有在另一个新闻平台有看到 q 大说的案例
被绑 LPM 的这个不是第一人, 但是不是认识的盗绑可能还要查
我拿我用信用卡绑定的例子来讲, 我绑玉山是要输入身分证字号和生日
然後玉山那边会发送简讯密码到我注册的门号, 收到简讯密码後再去网站填
填完後记得是完成绑定, 因为需要密码简讯所以手机会收到简讯
LPM 这种如果是以上面板友说的填完资料就完成绑定, 安全性还是不足
20F：→ temu2015: 收OTP其实很烂…… 邮局早上9:00进场 OTP时效10分钟 分 09/27 22:56
21F：→ temu2015: 别在9:28和10:30收到 根本搞事 09/27 22:56
总比什麽都没验证来得好吧? 而且大塞车的时候连 OTP 要发也发不出去
22F：→ linhuang: 要共绑不是要拿到对方的健保卡吗？？除非主绑人自己的 09/27 23:01
23F：→ linhuang: 手机号码曾经帮嘉义妈妈领口罩，那就直接收OTP码也可以 09/27 23:01
24F：→ linhuang: 绑，我的认知是这样啦！！ 09/27 23:01
https://cdn2.ettoday.net/images/5901/d5901721.jpg
用这张图来看被绑 LPM 的人可能是主绑?
如果是楼上的说法的话, 换成共同绑定的话用健保快易通收 OTP 也是一个绑定方式
只要确认被绑者是主绑 or 共绑就可以厘清了
但如果是共绑的话, 不是更容易追到主绑者吗?
而且共绑的话还可以主动退出, 应该不需要主绑者同意吧
25F：推 Kazamatsuri: 就等结果出来再看是怎样被绑定的吧～ ^^" 09/27 23:03
等结果罗, 反正也不是当事人也不用多鸡婆
只是这问题今年第一次出现, 总是要知道为何会有这状况吧
26F：→ LoveEunha: @temu2015 当时的邮局OTP验证有漏洞，根本不用收验证 09/27 23:18
27F：→ LoveEunha: 码... 09/27 23:18
https://reurl.cc/V5D5X6
找到爆料公社公开版的的讨论串, 看起来事主大概知道是谁
但还是请警方调查比较公正
另外在讨论串中还看到有人被绑到 Pi 钱包, 被绑的人好像也没 Pi 钱包
但好像也有说到玉山银行 (PS 玉山银行和 Pi 钱包没直接关系啊)
29F：→ lastblade008: 这新闻没什麽好讨论 明显是当事人有个熟人 不是有人 09/28 00:07
30F：→ lastblade008: 截她以前文章 盗刷信用卡 偷用手机等等 09/28 00:08
就算是熟人所为, 这样也不是很安全吧, 看起来连 LPM 都盗申请了
31F：→ thankslate: 你看某间银行的信用卡更容易 只要身分证字号和生日 09/28 01:25
不只某间, 大多数是使用身分证字号和生日
有的是身分证字号和行动电话, 或者是身分证字号和信用卡号
或者是还要登入网银才能用
但资料登入完之後, 至少有的还有 OTP 简讯认证, 除非连设定 OTP 简讯收讯门号
都被窜改 (或拦截 OTP 简讯), 至少还有得先用 OTP 或其他认证方式挡掉非本人申请的
五倍券绑定, LPM 这个正常情况下如果真的没有其他认证方式的话
就算是 LPM 在被盗绑人的手机内 (有申请过), 其他熟人只要知道个资恶作剧乱绑五倍券
让被盗绑人後续无法自己数位绑定 or 登录纸本五倍券
只是这种恶作剧乱绑的风险比较大, 只知道个资但不确定被盗绑人是否有申请过 LPM
输入进去就知道有没有申请过 LPM 了 (会验证个资是否有 LPM 帐户)
所以 LPM 之前为何要把本来要输入 LPM 帐户号码的栏位拿掉呢?
没拿掉的话, 除非是完全被盗申请 LPM, 不然多一个 LPM 帐户号码填入
虽然麻烦, 但至少被盗绑的风险应该可以降低很多吧?
这个新闻有没有讨论价值应该也是这样了
但反而透过登录纸本五倍券知道自己的个资被盗用, 这案子就不是那麽单纯了
另外一个是有人被绑定到 Pi 拍钱包, 这个我想了一下可能是有人申请 Pi 拍钱包
但後续需要身分证字号, 也许是使用身分证字号产生器输入後申请了 Pi 拍钱包
也用 Pi 拍钱包绑定五倍券, 只是该身份证字号的苦主就可能那麽刚好被数位绑定吧
(该身份证字号苦主依照另一个贴文人所写的应该是都没申请过, 只是一直以为是
被绑玉山银行 Pi 拍钱包联名卡这样)
※ 编辑: Sheng98 (220.143.157.64 台湾), 09/28/2021 08:41:37