改飛線密碼簡陋易冒

【明報專訊】本報測試五大手機電訊商，發現「重設飛線或服務密碼」時保安措施不多，令賊人有機可乘，在較嚴重的個案中賊人只要得悉受害人身分證號碼及出生日期，即使「不碰」受害人手機仍可以遙距重設飛線及服務密碼，方便日後可暗地遙距飛線冒認機主。保安專家建議電訊商加強保安，例如應提問多一些個人問題以核對機主身分，才容許重設飛線密碼。


「3」毋須用戶姓名身分證

本報測試數碼通、和記「3」、One2free、電訊盈科及中國移動五大網絡商，發現中國移動香港及和記「3」保安問題較大。舉例說，若賊人得悉中國移動服務用戶的身分證號碼及出生日期，即使賊人沒有受害人手機，仍可透過音頻熱線去遙距重設飛線或服務密碼。


「3」的保安漏洞則是賊人只要手執受害人的「3」手機及撥「*333」，縱然不知道「3」用戶的姓名及身分證資料，仍可冒認機主重設「飛線或服務密碼」。至於數碼通、One2free及電盈保安相對較高，但若賊人能偷到受害人手機及身分證，並爭取到約5分鐘時間，仍足以利用電訊公司網頁或音頻電話遙距重設飛線密碼。


本報昨曾聯絡五大電訊商，「3」發言人強調如客戶透過公司網頁重設「自助服務密碼」，必須輸入登記人個人資料包括身分證號碼及出生日期，但指會定期審視相關安全措施；數碼通發言人則指會不時提升保安措施，其他電訊商暫未回應。


專家：應多問個人問題

通訊事務管理局認為現時重設密碼的保安「理想」，無必要研究加強。但香港專業教育學院（沙田）電子及資訊工程系主任趙炳權認為，電訊商應仿效銀行的做法加強保安，例如在重設密碼前除核對基本個人資料外，應額外提出一些身分證上沒記載的個人問題，例如信用卡「簽帳額」、「有多少附屬卡等」，加強核對用戶身分的保安。