给大家曝光一个EzLink的auto-top漏洞

ysome

我一直都在拿信用卡当EzLink用，感觉auto top-up非常方便。
前不久信用卡找不到了，马上打电话挂失，报停。
结果过几天又找到了，想着既然已经报停了，把EzLink里面的余额用光就算了。

结果等用到最后两块钱的时候它竟然又自己top-up了30块！明明信用卡已经报停了的！
打电话给信用卡公司，说旧卡号确实有30块钱的消费申请，但是因为已经报停了所以交易失败。
而EzLink里却千真万确地多出30块来。竟然不等信用卡交易成功就先把充进余额里了。
这么大的漏洞EzLink公司竟然没有防范，小心被骗子拿来恶意牟利。

只抽ESSE

遇到过2次，EZlink会显示余额上bus刷不出。去过人工服务台咨询过才知道，后来我更改了绑定的信用卡。
又不巧，信用卡第二次丢了，现在都是去机器那边走nets充值

千股涨停

这相当于一个offline交易。如果需要实时联网到信用卡系统去完成top up的话，那么进站就不会那么顺畅了，起码要等二十秒以上，也就是平时超市刷卡的那个速度，影响用户体验。

如果这个漏洞被人利用，那么也很容易解决。现在是余额低于一次mrt的钱才自动top up，可以改成余额低于5块钱的时候就自动top up。

ysome

只抽ESSE 发表于 16-6-2017 23:32
遇到过2次，EZlink会显示余额上bus刷不出。去过人工服务台咨询过才知道，后来我更改了绑定的信用卡。
又不 ...

确定刷的出去的，刷不了我反倒不奇怪了

ysome

千股涨停 发表于 17-6-2017 11:15
这相当于一个offline交易。如果需要实时联网到信用卡系统去完成top up的话，那么进站就不会那么顺畅了，起 ...

就算改成低于5块才top-up也没用呀，EzLink反应没这么快。
每次充值多少是可以设的，打算恶意利用漏洞的话可以设成一次充100块，甚至更多。
top-up成功之后立马拿EzLink去麦当劳或者便利店花掉

abcxyz012

你以为充了就充了？时候信用卡交易失败，你的ezlink会被黑掉，然后让你去柜台还钱。

ysome

abcxyz012 发表于 18-6-2017 08:18
你以为充了就充了？时候信用卡交易失败，你的ezlink会被黑掉，然后让你去柜台还钱。 ...

不但冲了，我还已经刷了好几次了。
就算过几天EzLink会冻结，但是在这之前足以把余额花光了

abcxyz012

这样你的名字会上黑名单，以后再申请giro有麻烦

Markmo

我碰到过几次了。

ysome

abcxyz012 发表于 18-6-2017 19:53
这样你的名字会上黑名单，以后再申请giro有麻烦

我从没拖欠欠银行一分钱，上什么黑名单？就算上了EzLink的黑名单又跟giro有什么关系？
不过我只是打算曝光一下这个漏洞，并不打算去恶意牟利。
已经打电话告诉EzLink了，不过他们也不怎么重视的，我的卡依然可以刷。