iPhone 越狱被盗刷信用卡！只因为他们没做好这些安全措施
安全风险的到来总是猝不及防。盘古团队发布 iOS 9.2-9.3.3 越狱工具还不到一周，就有不少越狱玩家相继曝光，称自己的 PayPal 帐号在越狱后被盗刷。
如今的越狱圈子已非早期那么简单。在这一周里，这些用户究竟遇见了多么心惊胆战的经历？
（图片来自：wehuntedthemammoth）
只持续了 1 小时的新鲜感，瞬间被危机取代
时间：2016 年 7 月 25 日
越狱对象：升级至 iOS 9.3.3 的 iPhone 6
升级环境：一台为图形设计而装配的 Windows 10 台式机
（图片来自：9to5Mac）
Reddit 用户 MacOda 正是在这样的条件下，用盘古最新发布的工具进行了一次越狱。在越狱之后，MacOda 安装了 PokemonGoAnywhere、Masterball、PP 助手应用商店这几个插件。
不过，这位“有着多年越狱经验”的老用户似乎并没有从这次越狱中得到好处。仅仅一个小时后，有人暗地里登录了他的 PayPal 帐号，向另一个 PayPal 账户转了 50 美元。这个不知道身处何地的黑客还曾尝试盗刷 MacOda 的信用卡，但银行的保护机制及时排除了危机。
（图片来自：果壳网）
在 Reddit 的越狱讨论区里，有同样遭遇的用户纷纷回帖投诉。卷进此次漏洞风波的不只有 PayPal、信用卡，还有 Facebook。
MacOda 公开自己的经历后，iOS 越狱界的祖师爷、Cydia 的开发者 Saurik 站了出来，他表示自己相信盘古团队：
我很信任盘古团队，但我不确定中文版的越狱程序是否完全在盘古团队的掌控之下。我敢打赌，尽管我们需要在 PP 助手上下载英文版，但这个版本只有盘古团队的成员接触过。
（Saurik 本尊，图片来自：YouTube）
给 iOS 设备越狱这事儿，在 iPhone 4 时代的中国还非常流行。随着 App Store 在中国的使用体验日益进步，很多原本需要通过越狱实现的系统功能也继承到新的 iOS 里，越狱已经逐步淡出了大众的视线。
不过无论越不越狱，总会有不法分子希望拿到你手机里的机密信息。如果你能够按照爱范儿（微信号：ifanr）的建议，合理设置自己的数码设备和帐号，即使是最强大的黑客也不一定能刷爆你的信用卡，知道你在网络上隐藏起来的小秘密。
不想丢钱，就请用正确的方法绑定银行卡
别以为不越狱就不会丢钱，事实上会导致盗刷的漏洞可能存在于任何一款 app，比如 Uber。此前就有不少 Uber 用户投诉称自己的 Uber 帐号被盗，盗号者通过这些帐号刷单，刷单的同时盗刷了用户的信用卡。
其实只要换种姿势绑定支付方式，就能一定程度上降低风险。
尽可能不要直接绑定信用卡
信用卡，顾名思义与个人的征信记录有关。对于信用卡用户而言，丢钱还算是小事，万一降低自己的信用度，那可是会影响一辈子的，所以避免直接将信用卡与 app 绑定。
不将鸡蛋放在一个篮子里
200 万余额的储蓄卡晒起来倍有面子，但如果你直接把如此高额的储蓄卡绑定在支付宝、微信、App Store，那就是想让自己成为黑客的受害者了。任何时候都不要将自己的主力银行卡与网络支付绑定。
玩转互联网，你还可以用这些措施保护自己
除了财产损失，信息安全风险还有带来一些更常见的问题，比如上文提到的盗号，手机重要资料的丢失和硬件故障。
不要拿主力机体验开发者的日常
在 iOS 10 开发者预览版发布时，爱范儿（微信号：ifanr）已经提醒过：
如果有同学想尝鲜，千万不要拿自己的主力手机来冒险。
现在的智能手机承载着太多的东西——银行帐号、情侣自拍、与商业伙伴的微信聊天记录、重要短信……除非进行了 100% 完整的信息备份，否则请不要轻易用主力手机越狱、刷最新的开发者预览版系统。
管理好自己的密码！
密码安全这事儿已经是老生常谈了，这一次，爱范儿（微信号：ifanr）来介绍点更加高级的密码管理方法。
首先，是选择一款靠谱的密码管理服务。一位在 Google 从事运维工作的员工向爱范儿（微信号：ifanr）推荐了 LastPass。这款于 2008 年上线的密码管理器至今还未出现过数据泄露的事故。
如果你选择了 LastPass、1Password 等密码管理软件，还可以活用软件内置的随机密码生成功能，生成一个毫无规律可言的随机密码，最大限度降低密码被破解的风险。
其次，在 Google、Apple ID 等重要帐号中启用两步验证（2 Factor Authentication）。开启两步验证后，登录对应帐号时除了输入密码外，还要输入一个有时效性的验证码。除非你的手机也落入了他人手中，否则要破解两步验证是非常困难的。
最后，也是最重要的一点——时刻保持警惕！犯罪分子入侵你帐号的方法不只有破解密码，还可以让你亲口说出来，比如设置一个假的客服电话。
他们还有可能给你发一个假的网站，并以“重要通知”的形式引诱你输入正确的帐号、密码。在写这篇文章的时候，我刚好收到了这样的短信，为此文完整性补上了一个重要的素材，呵呵。
所以，任何时候都不要在看起来不太正常的网站中输入密码。如何识别这些有问题的网站？最简单直接的方法就是看网站域名，只要看起来不正常，那就是不正常的网页。以上面的短信截图为例，苹果的域名绝不可能是“icloud-qq”。
总之，不要轻易登录来路不明的网站、看起来很官方的“官方通知”，不要随便输入帐号密码。
（图片来自：giphy）
好了，对于普通用户而言，只要能按以上这些方法玩机，就不需要太过担心帐号安全，也不用因为害怕银行卡被盗刷而拒绝移动支付。
如果你身边有亲朋好友对最近频频出现的 iPhone 被“绑架”忧心忡忡，不知道怎么管理众多帐号和密码，不妨把这篇文章转给他们看看。
题图来自：HDW7
