事情是这样子的：

在家这几天在中国亚马逊上买了些书，前前后后买了十几本。

一直觉得亚马逊没有太多的广告和噱头，送货速度虽然赶不上某东，但服务什么的都还算可以。

昨天晚上临睡前逛了下亚马逊，下了个订单，买了些书。由于过了零点下单，所以下单日期也是9月22日。（下两张图是我自己下的订单）

晚上刚吃完饭，接到个陌生手机号，由于工作时候一直会受到陌生电话，同时手机管家未显示是骚扰或者诈骗电话，于是就接起来了。

骗子： 您是XXX先生吗（真实姓名）？ 

（但是一听到不是标准的普通话，感觉是诈骗电话，留了个心眼。）

本人：是的

骗子： 你在亚马逊上是不是下了个订单，内容是四本书。

本人：是的

骗子：我们库房准备给你发货，但是发现订单被取消了

（这个骗术之前看过，基本断定是骗子了。但好奇他到底怎么实现的，所以暂时也没挂电话）

本人：我没取消啊

骗子：你是下了个订单，四本书，用的是礼品卡支付的吧

本人：是的

骗子：你现在登陆下亚马逊，看下订单状态。

本人：好的，我看下。

（和之前剧本一样……知道不要输入银行账号密码就行，按部就班去看了）

发现的的确确有个异常订单。

尚未支付？我明明之前就支付了。不过等等。。

为什么付款方式是支付宝？我明明是用礼品卡支付的。（整个订单100+软妹币，昨天晚上自己下完单后只剩下了30多）

然后再仔细看下订单其他内容，发现有几个问题:

1、付款方式不同（真订单：账户余额；骗子订单：支付宝）

2、订单编号不同

3、订单金额不同（真订单：112.10；骗子订单：113.70） -----有本书涨价了……

骗子：您看到了那个订单了吗？没看到的话，你也可以看下邮件。

我看了下邮件。

特地留意了邮件头，发现的的确确是amazon发出来的，但是注意，这只是一封确认邮件！

骗子：这样子，我们帮你安排退款。

（狐狸尾巴露出来了）

本人：我该怎么做？

骗子：你点下购物车旁边的心愿单。

点了之后，如下图（到目前位置，所有的操作都是在amazon的官网上做的）。

骗子：看到了系统公告了吗？

（其实心愿单的作用是一个可自定义的收藏夹，而且很少人用这个功能……）

本人：看到了

骗子：你看到上面怎么写的了吗？

（随后骗子会逐一和你确认你看到的内容，个人觉得是骗子要确认用户的确看到了，没有在骗他...)

骗子：您看下，公告里的电话，就是我打给你的这个电话吧？

本人：是的。

骗子：那好你进入一下那个网址，我们给你退款

到此为止，骗子的伎俩差不多结束了，引诱用户到外部链接之后，就是输用户名、密码等操作……办理所谓的“退款”

随后找了个理由，说在公司，有些网站上不去（感谢深信服……）。骗子问我什么时候可以上，我说回家吧，11-12点的样子。于是他还不死心，说待会儿再给我电话……

后面所有的电话都没接，然后就没有然后了……

如果不是之前在微信朋友圈上看到过这个骗术，真搞不好会中招。

梳理下，骗子整个行骗流程是：

1、通过某个网站获取用户的用户名（邮箱）、密码等基本信息，可能还有手机、地址或者其他基本的个人信息字段。

2、由于大多数用户会使用相同的邮箱+密码登陆若干个网站，如果网站本身认证机制不够完善的话，那就全球通了。

3、骗子在确认可以登录AMAZON后，制造假订单欺骗用户。

有点需要注意下：之前的骗术里是使用隐藏订单的功能，amazon应该已经取消了这个功能，所以用户还是可以直接看到自己的真实订单。因此，务必确认你看到的就是你自己下的。很多时候差异都存在在细节里，如支付方式、金额、订单号等……

4、骗子在确信你信了这个订单有问题之后，就引导你进行”退款“。使用amazon的”心愿单“功能，制造假的公告和退款链接。

以下，所有的操作都在amazon网站内部完成（的的确确在官网，增加了可信度）

5、公告中的链接是个短链接，输入之后，进入钓鱼网站，然后让用户以为自己在退款…… 而卡号、密码等等的信息，一不小心就泄露了……

以下，有感而发：

一：对于骗子：现在的骗术越来越高明（未必有太多的技术含量）

360度无死角的利用了社会工程学，利用用户对官方网站的信任，在官方网站上植入钓鱼网站链接。

二：对于AMAZON：认证技术需要提高

除了用户名密码，亚马逊偶尔使用了双因素认证，触发条件目测是你换了新电脑或者用了新的IP。但是，目前我碰到的双因素认证的问题是：

您的以0065结尾的手机号是？

这种字段可以很轻易的和用户的用户名、邮箱、密码一起拿到。毕竟把身份证和银行卡放在一起是一件很不安全的事情。

三：对于用户：提高安全意识，便捷与安全总是相对的。

工作中一直碰到用户抱怨：

1、为什么又要改密码？

2、我的密码能不能设置为永不过期？

3、我能不能不该密码？我们Team几个人都用同一个账号，一改就锁。

记得有一次给用户分配FTP账户，分配了一个16位的强密码，大致像这种：?Fm\mX.*g[;Kp0Ng，然后用户直接爆粗口，各种抱怨

一般公司都是使用强密码策略：

a. 密码历史要求：新密码在最近的Ｘ次内未被使用过

b. 密码长度要求：密码必须Ｘ位数以上

c. 复杂性要求：密码必须包含大写字母，小写字母，数字，特殊符号中的至少三种

d. 密码锁定策略：输错X次密码账户被锁

等等等等……

的确很麻烦，但是便捷与安全总是相对的。这就好比是保险，没人希望用到，但人人都会买各种各样的保险：意外险、重疾险、养老险…… 

四：经验总结

1、定期更改密码

2、使用强密码

3、不同网站使用不同的密码

4、确定你看到的事物（如订单）的准确性，真实性

5、认清钓鱼网站，不随便进外链

6、凡是需要输入敏感信息的（卡号、密码等）留一万个心眼

以上，不说了，默默的改密码去……

Shawn Cai

2016-9-22