最近这美团的小日子，过得可真是不太平。



先是小长假回来的第一天，就因「二选一」的市场垄断行为，被处罚了34.42亿元。





结果这才没过几天，又开始曝出美团App iOS版，会在后台24小时不间断地获取用户的地址信息。


美团工程师虽然出来回复了，但明显这个说法也并不被网友们所认可。






这还没完。



就在这两天，美团和大众点评，又被许久未在微博发声的王思聪发文怒怼了一通。


据王思聪所说，他的大众点评账号在没有经过任何本人验证的情况下，就被他人在美团上改绑为其它手机号。





这里机哥先给不明所以的机友科普一下。


虽然美团和大众点评，一开始是一对互相竞争的对手。


但早在2015年，美团就已经和大众点评完成了合并，继而成立了新公司——美团点评。


So，现在的美团和大众点评用的是统一账号体系，美团App和大众点评App其实也是同一回事，功能基本没差。






再回到王思聪这个事上来。


按照我们过去的经验，当需要在某个App上进行更换手机号的操作时，一般都会要求先与原手机进行验证，才能继续换绑。



如若是遇到手机号不再使用的情况，应该也是需要通过身份证，或者人脸等方式来确认本人才对。





然鹅王思聪这次，就是在本人完全不知情的情况，被其他人成功进行了换绑操作。


这样看起来，美团点评这安全系统做得好像确实不太行。。



虽然大众点评官方也在事件曝出后，及时表示已经将该账号进行了保护性冻结。





但是这一回应，不仅没有平息舆论，反倒是更加激起了网友们的怒火。


大家主要的质疑还是集中在：这次不过是因为他是王思聪，才能这么好解决罢了。


要是换作，咱这些普通人的账号被偷偷换绑，大众点评又是否会回应得这么积极呢？





更有网友通过实测后表示，这其实是美团App存在的一个重大安全漏洞。



在美团App中，只要提供手机号码和生日信息，就能完成换绑手机的操作。


同时他也认为，王思聪的账号可能就是通过这样的方式被盗的。





从他发布的实测录屏来看，整个换绑过程也确实如他说的一样。


可以看到，他在美团App登录页面选择「更换绑定手机」之后，后续只需再输入原手机号、生日信息就可以顺利成功通过验证。


之后你想更换成哪个手机号，都由你自由决定。






试想一下，你的朋友只要知道你的手机和生日，就可以随意改绑你的美团账号，然后成功进行登录。


是不是还真的蛮恐怖的？


特别是王思聪这种名人，现在随便在网上一搜，就能搜出他准确的出生日期。


此外，王思聪既然是大众点评的用户，当他去一个地方消费时，手机号很可能也会被获知。



这么看来，在美团的这种换绑策略下，账号被盗一点也不奇怪。





作为对比，机哥也是找了一批日常使用频率比较高的App。


为的就是测试它们对于「换绑手机号」这个功能，到底都有哪些不同的策略。


其中，像常用的社交类App的话，关于隐私的保护都做的比较严格，换绑一般不容易。



毕竟，这类App所涉及的聊天记录什么的，都是比较隐私的内容。



比如大家现在就正在使用的微信，微信未登录时的状态并不支持换绑，但可以选择账号申诉。


此外，微信申诉账号也提供了我记得微信号，以及我不记得微信号两个入口。






记得微信号的话，会相对方便一点，输入即可继续下一步。


而要是不记得，则还需要输入两个好友的信息，来作为验证。




（左：不记得；右：记得）



但是，这就OK了吗？怎么可能这么简单。


无论你是选择了记得还是不记得，下面都还需要经过一些账号关键信息的验证。


要不就账号绑定的证件、银行卡等信息，要不就需要账号的应急联系人。


两个如果都填不上，那很显然，申诉不了。





说完微信再来看看微博。


首先，当机哥在手机上尝试进行换绑操作时，系统会提示需要到电脑上操作。






但即使换成了电脑，后面流程依然还会有一系列复杂的流程。


像是账号的注册时间、注册地点、常登录地、证件号码...都是必填项。



要机哥说，这就算是本人来操作，这难度也还是不小。





就算是抖音这种短视频App，虽然相对来说换绑没微信、微博那么复杂。


但也是需要至少提供真实姓名、身份证号才能继续后面的操作。






至于和大众点评业务比较类似的口碑App，换绑的流程也比美团的「生日验证」要靠谱得多。


邮箱验证还是银行卡信息，你总得交出一个来。





不过等到机哥再去进行测试美团App时，似乎美团也已经对这个换绑的策略，进行了修改。


首先是支持修改的范围，已经被限定在「最近6个月修改过账号绑定手机号的用户」。


如果6个月内没有进行过相关的操作，那就无法再继续进行后续的操作。






但如果只是加了这一道限制的话，是不是还是意味着，符合条件的用户依然可以被轻易盗号？


你说巧不巧，刚刚好，机哥的美团账号就满足了这个限制。


带着这样的疑问，机哥继续了下一步。



结果在后续再进行换绑的操作时，机哥就发现，美团App换绑所需要的生日信息验证，也已经被更换为「支付密码验证」。


也就是说，现在只有你获取了原账号的支付密码，才能接着继续更换手机号。






同样的，在大众点评App上的流程也是一模一样。



如果是这样的话，安全性倒是看起来没毛病了。



通过支付密码来验证，怎么看都比来一个生日信息要靠谱不少。




但是，美团这问题解决了吗？没有吧。


前面提到，现在美团App的「更换绑定手机号」功能中，又多出了一个6个月内有过换绑操作的限制。


问题出就出在，真的手机号丢了、且需要换绑的人，又有几个是刚好有在6个月内操作过的呢？


这怎么看，都多少有点拆东墙补西墙内味。


如何在方便性和安全性中间找到一个平衡，依机哥看，美团还得再琢磨琢磨。