揭共享单车漏洞 支付0.3元就有人帮你解锁

4月24日，各种问题让自行车共享成为“国民素质的一面镜子”。近日，记者发现，一群人专门利用自行车共享OFO(小黄车)的漏洞，违规倒卖自行车密码和绑定学生证牟利。

对此，OFO平台回应记者说，他们正在采取一系列措施来解决这些问题。

支付0.3元就有人帮你解锁交0.3元就有人给你解锁了

众所周知，许多非法产业链都是围绕着OFO自行车共享发展起来的。

4月18日，记者搜索了遍布全国多个省份的17个QQ群，关键词“解锁单车”，均声称以低价解锁单车共享。随便加入一个，马上就会有很多人围过来。" 0.3元解锁，5元认证学生账户."

记者在给绰号“好孩子”的人打了一个0.3元的电话，发给他一个黄色小车牌后，不到一分钟就收到了对方的密码。把锁转到对应的位置，小黄车就开了。

“没有技术含量，只是把车牌号输入自己的APP，通过正常渠道获取密码。”“好孩子”介绍，学生时代注册小黄车用户，骑自行车只需半价，免交押金。

小黄车收费标准为每小时1元，学生需要半价0.5元。只收0.3元不亏吗？针对此问题，“好孩子”告诉记者，拿到黄晓车密码后，可以点击APP报修，平台会误以为此车已经损坏，不再收费。“一天最多可以维修15次，相当于15次免费机会。”

从那以后，《好孩子》就把其他业务推广给了记者。"只要你有5元钱，你就可以被认证为学生用户. "

收到红包后，“好孩子”留下了记者在杜南的电话号码，用手机登录了记者的账户。“这可能需要一些时间。我通过认证就通知你。”在接下来的2个小时里，南方记者收到了来自OFO平台的短信。“您的信息身份不符合要求，未通过认证”。几次认证失败后，“好孩子”终于通知记者，他的认证成功了。

记者登录APP，发现账号绑定了学生证，学校是广东某大学。“好孩子”声称自己是学校的学生，绑定的学生证也是自己的。

网上存在多个“解锁”交易群。网上有多个“解锁”的交易群。

一个人可以有不同类型的帐户

事实上，在这些QQ群中，学生信息已经被公开出售。即使你不是学生，也可以使用他人的身份信息作为学生用户进行认证。

在一个名为“OFO自行车师生认证”的QQ群中，管理员“小沃”告诉记者，被认证为低素质学生用户只需6.88元，一年或四年内可能无效。想要永不失败，需要支付9.9元购买高质量的学生信息。

南方记者了解到“小酒窝”属于一个团队，专门做小黄车相关的业务。她说她掌握的所有学生信息都来自于队老板。“老板每天早上给我发几条学生信息。如果那天用完了，你可以再问他。”

目前这个团队正在招聘代理。“小酒窝”告诉记者，代理商可以自行接单。“有单子给我发手机号，高质量(学生信息)8元，低质量6.6元，可以卖给别人，价格可以高。”

该团队的销售人员“紫藤花”表示，即使是经过认证的社交用户也可以解除绑定，然后利用他们出售的学生信息重新认证为学生用户。只卖5元。

杜南记者随后亲身经历了这件事。给紫藤发了红包不到三分钟，一个已经欠了1块钱的社交用户打破绑定，成为了一个未认证的新用户，优惠券5块钱。

对于这一现象，OFO的客服人员表示困惑。"一般来说，一个帐户只能被认证一次."客服说只有官方工作人员才有权力解开。“我们不允许一个人拥有多种类型的账户。”

据说，如果一个用户同时拥有一个社交账户和一个学生账户，它将被OFO平台检测到并被禁止。

“紫藤花”告诉杜南记者，她不是OFO的员工，解绑是在一个软件上完成的，这个软件是由软件部门的团队老板开发的。南方记者拥有的两个手机号分别注册为社交账号和学生账号，并未被封禁。

脆弱性催生不同方式的“薅羊毛”

在另一个名为“mobike红包攻略小黄秒开”的QQ群中，成员“018”以5元的价格向记者兜售他的“破解秘密”。收到红包后，“018”告诉杜南记者，他用支付宝的端口使用小黄车，免押金。拿到密码后立即点击修复，这样就可以免车费了。这样，“018”就可以一路免费乘坐。

“018”告诉记者，在自行车共享中，只有小黄车更容易被破解，而且有很多方法可以避免支付押金，还有很多渠道可以避免支付车费，从而滋生了大量转售小黄车密码的团伙。

“018”解释说，低价出售小黄车密码的业务是因为小黄车没有定位功能。即使你在很远的地方，也可以通过别人发的车牌号和你所拥有的学生信息，从官方渠道低价获取密码，高价转卖给他人。“018”向南方记者透露，小黄车大多使用机械锁，越用越松。只要多摸索，就能掌握诀窍，试几次密码就能打开，孩子也能做到。这种开锁方式，行话叫“碰锁”。

"我们使用黄色小汽车，都喜欢一按、两触和三部手机."“018”说每次用小黄车都会先按车锁。有时候上一个用户用了车也不会打扰密码，下一个用户就可以很方便的乘车走了。如果密码被打乱，有时锁会被打破。如果摸不到，最后通过官方渠道拿到密码。因为一辆车只对应一个密码，记住密码后还可以销毁车牌号，就可以独自享受这辆车了。

"但是，虽然系统没有漏洞，我还是比较喜欢用mobike . "“018”表示，“现在mobike推出了红包活动，有的mobike乘车不仅不收费，还会送钱。”

事实上，有些人用红包来获利。一个用户在QQ群教体验，只要把普通的mobike藏起来，因为很久没用了，过几天车就会自动生成红包。

这种类似于“薅羊毛”的行为使这些人得到了这样一个绰号——“羊毛党”。

自行车共享暴露出的漏洞正在吸引越来越多的人来到“薅羊毛”。南方记者搜索的17个QQ群中，每个群的数量已经达到上限，成员总数达到4500人。

“羊毛党”成员之一李彦耀(化名)告诉《南方记者》，仅仅在“薅羊毛”呆了三天，他就赚了154元。李彦瑶是一名高三学生。他打算赚够300块钱在mobike交押金，然后辞职。

这些“羊毛党”里也隐藏着一些骗子。一个QQ群成员声称可以卖破解软件，免费骑自行车，收费5元。转到5元红包后，用户继续要钱。“刚才你不同意，现在价格涨了，要给5块钱。”

在另一个QQ群中，有人以自行车共享的名义出售所谓的“学生信息生成器”。有用户发现，所谓的“学生信息生成器”其实是手机病毒。

群里正在倒卖破解技术。该集团正在转售破解技术。

漏洞频繁暴露的原因是什么？

目前，自行车共享的竞争越来越激烈。除了mobike推出的红包活动，小明自行车还推出了半年免费乘车卡，交了199元押金就可以免费乘车半年，到期后还押金。

在这场“巷战”中，小黄车以数量优势暂时领先。

第三方数据研究机构必达咨询发布的《2016中国自行车共享市场研究报告》显示，在2016年自行车共享整体市场份额中，小黄车以51.2%的市场份额位居行业第一。

3月1日，OFO宣布完成D轮融资4.5亿美元，折合人民币31亿元。

4月19日，OFO与自行车制造商富士达签署合作协议，富士达将获得年产1000万辆自行车的产能。

虽然是业内最好的，但是小黄车的漏洞并没有被修复。南方记者发现，从今年1月起，OFO正式发布了ofo自主研发的第一代智能锁。这是黄晓汽车自2014年上市以来首次更换机械锁。但是到目前为止，市面上的小黄车主要是机械锁。

谈到为什么漏洞没有及时修补，“018”质疑:“小黄车频繁暴露的漏洞有没有可能是政府故意泄露的？你是不是故意利用漏洞做大平台数据？”

针对这些问题，OFO平台回应杜南记者称，他们正在与Xuexin.com沟通合作，开放学生认证信息，防止虚假认证行为；针对私密码行为，OFO在取证后会配合警方，并按照相关法律处理相关责任人；OFO将使用大数据算法将虚假报修用户列入黑名单，不再为其提供服务。

OFO平台透露，除了1月份推出的第一代智能锁，他们正在开发第二代智能锁，目前正处于产能攀升阶段。

事实上，外界有声音质疑，在“烧钱”的背景下，OFO平台的资金可能不足以支持快速更换新锁和修补漏洞。对此，OFO创始人戴巍在4月19日的新闻发布会上表示，OFO已建成300多万辆汽车，投入成本超过10亿元。但由于一级市场投资6.5亿美元，资金流量依然充裕。戴伟透露，OFO目前每天收入近1000万元，全部来自分时租赁的租金，明年将实现全利润。

在非正规渠道用车，事故由谁负责？

在目前倒卖密码和学生账户的情况下，另一个值得注意的问题是，全国各地发生了多起交通事故，都是由使用自行车共享的当事人伤亡造成的。那么，如果以非法手段骑行发生事故，谁来承担责任？

OFO平台告诉南方记者，小黄车是网格化管理，每个指定区域都会配备一名运维师傅，负责修车和放车。这些主人将佩戴着装和工作卡，未成年人骑自行车时将及时劝阻教育，并将在上学和放学的高峰期加强学校周围的检查。此外，OFO还将在自行车上贴上警告标签，提醒12岁以下的未成年人不要使用自行车共享；同时配合教育部门和交警部门，通过app屏幕播放和微博微信对用户进行宣传教育。

但是小黄车上广泛使用的机械锁不足以阻止孩子非法用车。据媒体报道，一名12岁以下的儿童在不到5分钟的时间内打开了机械锁，并拍下视频，发到网上。

对此，OFO平台告诉南方记者，他们已经接触了多家保险公司，并为每一个标准车的用户购买了保险。“如果用户因非法使用汽车而发生事故，OFO将在第一时间与用户和警方沟通，以协助警方调查和确定责任。”

然而，北京市康达律师事务所律师杨认为，如果你非法解锁汽车或谎报维修以逃避车费，一旦发生交通事故，站台不应该承担无过失赔偿责任。