网络近日流传的一则“支付宝惊悚实验”引起广泛关注。实验者称手机丢失后，捡到手机的人可以只通过一个手机验证码就轻松找回支付宝的密码，如果账号还有跟银行卡绑定，那么里面的资金可以被盗取。“手机丢失？你的支付宝就完了！”最近，一条帖子在微信朋友圈热转：“如果手机丢了，任何人仅凭手机接收到的校验码就能找回支付宝密码，解除你的数字证书，盗空你的支付宝账户！”对此，支付宝官方微博在第一时间辟谣，称帖子内容纯属谣言。

不过，记者采访多位网络安全专家发现，伴随近年手机钱包越来越火，移动支付蛋糕越做越大，财务风险也越来越高。日前，相关媒体通过镜头给全国人民做了一次现场真实测试。测试发现，事实并非如实验中的描述，找回支付宝密码需要同时验证手机校验码、身份证号和私人安全问题，过程相当繁琐，破译的可能性很小。传言几个月的“支付宝惊悚实验”也终于真相大白。

重设登录密码需要身份证验证
为了证实“支付宝惊悚实验”的可信度，笔者专程从国内专业的网络安全公司里请来一位安全研究员，按照“支付宝惊悚实验”的步骤，对手机丢失后可能发现情况做了全面的真实测试。

研究人员假设捡到笔者的手机，手机上装有支付宝钱包，然后研究人员开始对手机里的支付宝钱包进行资金盗取。

打开支付宝钱包，研究人员马上遇到支付宝钱包第一道安全屏障——图形锁定界面。支付宝钱包设有手势图形锁定功能，需要手设密码或重新登录才能进入，研究人员既没手设密码，又不知道账户登录密码，只能选择“忘记密码”，希望通过重设登录密码功能进入支付宝账户。

进入重设登录密码界面，第一步系统要求输入支付宝账户名和手机短信验证码，刚好笔者的手机号就是账户号，而短信验证码也会发到笔者这个手机上，因此就可以通过这一步。然而，进一步，系统要求研究人员输入支付宝账户主人的身份证号。这一步，研究人员没有拿到笔者的身份证，支付宝的登录密码也无法进行修改。在现实中，如果没有获得正确的身份证号码，盗窃者就止步于此了。

“短信+安保问题”修改支付密码可能性很小
为了进一步测试，笔者假定手机获得者能够得到身份证信息，在修改了登录密码后，研究人员成功地登录了这台手机上的支付宝。接下来，研究人员就尝试对这个账户做资金转出、转入操作了。

由于研究人员不知道支付密码，同样只能通过密码找回功能破解。支付密码找回有两种方式：一种是通过短信校验码，加上安保问题;另一种就是短信校验码，加上这个你存到的快捷支付的银行卡的信息。

实操中研究人员选择第一种：短信校验码+安保问题。短信校验码很容手机上。但得到验证码之后，还要正确填写一个安保问题，通常这个问题是手机用户自己个性化设定的，有的手机用户设计的就是自己妈妈的名字，而类似这样私密的问题，捡到手机的人不可能知道。这也就是说修改支付密码的可能性很小。

在这次测试中，笔者得出结论，支付宝的安全完全有保障，即使手机丢失，别人也无法从这台手机上盗取资金。研究人员也坦言，手机丢失的风险其实是可控的，而且只要用户保护好自己的隐私，特别是像身份证号、银行卡号这些东西只要保护好，并不需要担心。

手机丢失,应先冻结绑定银行卡
记者测试证明，如果只是单纯丢失手机，不法分子几乎不能仅凭一部手机盗取银行资金的。但是，如果将手机、身份证、银行卡一起丢失的话，就意味着你绑定在手机上的银行卡密码能够被修改，绑定的资金也可能被转移。

网络安全专家提醒，万一手机丢失，如果手机号已经绑定了支付工具，建议用户尽快向支付服务提供方(支付宝、微信等)挂失，联系通信运营商挂失SIM卡，并向银行挂失并冻结已经绑定的银行卡。如果身份证、银行卡连同手机一并丢失，需要尽快向公安机关和银行挂失处理。“手机丢失后，只要用户保护好自己的隐私，特别是像有身份证号、银行卡号这些只要保护好，风险其实是可控的。”移动支付安全研究员申剑告诉记者。

中国电子商务研究中心网络零售部主任莫岱青则提醒，已经开通移动支付的用户，注意不点击不明链接，不安装不明软件。一旦手机突然没有信号，在排除了信号问题和手机故障后，要尽快到营业厅查询SIM卡是否被他人补办，并将支付平台内的余额转出。

此外，记者分别采访腾讯和阿里巴巴，两家都表示针对网络披露的支付安全问题，在不断地对支付软件进行升级，如果确实是微信和支付宝支付造成资金被盗，用户只需提供相应的损失真实性证明和身份证明，都可获全额赔偿保障。