叫板Apple Pay的移动支付服务CurrentC遭黑客攻陷

由沃尔玛、百思买和GAP等多家零售商合作成立的公司MCX（Merchant Customer Exchange） 开发了移动支付解决方案CurrentC ，试图与Apple Pay等服务竞争。然而，该公司近期遭到了黑客攻击。该公司向TechCrunch确认，此次攻击中泄露的数据主要是用户的电子邮件地址，而CurrentC的移动应用并未受到影响。

MCX表示，过去36小时内，该公司发现有未经授权的第三方获得了CurrentC试点项目参与者，以及其他对CurrentC感兴趣的个人的电子邮件地址。

MCX一名发言人表示，该公司已通知商户合作伙伴此次事故，并将与电子邮件地址受影响的用户取得直接联系。

目前看来，只有一些早期测试者的电子邮件地址被窃取。相对于另一些数据泄露事故中出现的支付数据或其他个人信息，例如家庭地址和电话号码被盗，这一事故并不严重。去年圣诞节购物季，塔吉特就曾遭遇了一次更严重的数据泄露事故。

此外，许多虚拟的电子邮件地址仅仅只被用于测试目的。这意味着，在当前的试点阶段，还不会有许多终端用户受到影响。

不过MCX表示，将继续对此次事故进行调查，并将在获得更多信息后进行公布。

以下是MCX发送给受影响用户的邮件全文：

感谢你对CurrentC的兴趣。你收到这封邮件是由于，你要么参加了我们的试点项目，要么请求了关于CurrentC的信息。过去36小时内，我们发现， 有未经授权的第三方获得了你们中一些人的电子邮件地址。基于MCX安全人员的调查，此次事故只涉及电子邮件地址，而不涉及其他信息。

出于谨 慎的态度，我们希望你了解此次事故，并提醒你不要打开来自未知第三方的链接或附件。此外需要指出，CurrentC和MCX不会向你发送邮件，询问你的金 融账号、社会安全号码，或是其他个人识别信息。因此，如果你收到一些邮件询问这些信息，那么可以肯定，发件人并非我们，你不应当作出回复。

MCX仍在继续调查这一事件，并将在必要情况下提供最新信息。我们极为严肃地对待你们的信息，对于给你们造成的不便表示道歉，并感谢你们对CurrentC的支持。

目前尚不清楚，这些电子邮件地址具体是如何被盗的。由于一些虚拟帐号同时被盗，因此似乎可以排除钓鱼攻击。钓鱼攻击要求用户点击恶意链接，或做出一些操作。 通常情况下，这样的攻击者会向用户发送伪装成普通邮件的电子邮件，欺骗用户。虚拟帐号的创建者不太可能对钓鱼攻击做出回应。

对于不太熟悉情 况的人，可以简单介绍一下CurrentC的开发商MCX。MCX是由50多家零售商共同成立的组织，开发自主的移动钱包技术。这些零售商希望自行掌控移 动钱包体验，而不是将这样的服务交给类似苹果的公司。苹果的Apple Pay移动支付解决方案阻止零售商获得消费者数据。加入MCX的零售商希望将移动支付作为一种了解消费者购物行为的更好方式，这意味着它们未来可以更好地 向消费者提供优惠信息。

这一系统通过移动应用CurrentC来运转，这一应用目前已进入多个应用商店。与Apple Pay相比，这是一款相对笨拙的工具，需要使用到二维码。不过，类似星巴克的零售商已凭借二维码获得了成功。这些特殊的条码并不会关联至某一特定平台，例 如苹果的平台，因此零售商接受这一技术是合理的。（ 更多关于CurrentC的介绍请看这里 。）

CurrentC 近期开始受到媒体关注，一些参与此项目的零售商关闭了店内的近场通信（NFC）设备。NFC技术是Apple Pay和其他非接触式支付解决方案，例如谷歌钱包的基础。消费者此前可以在Rite Aid和CVS的零售店中使用ApplePay。由于这些零售商的POS终端配有NFC功能，因此最开始消费者可以正常使用Apple Pay。

然而，这些零售商随后关闭了POS终端的NFC功能，从而停止了对ApplePay的非正式支持。很明显，这是由于这些零售商与MCX签订了合同，因此被禁 止支持竞争对手的移动支付产品。（Apple Pay的合作伙伴Walgreens利用了此次事件，通过社交媒体告知客户，“选择权代表了一切”。）

MCX今天上午发布了一篇博客文章，对关于该公司技术及目标的误解进行了澄清。这篇文章中的一段探讨了CurrentC的安全性，并称“我们做出的技术选择从核心功能的方方面面去考虑用户的信息安全”。

在近几个月的一系列数据泄露事故中，塔吉特、家得宝、Nieman Marcus、斯台普斯、P.F.Chang’s和Supervalu等公司的用户数据被盗。消费者已经形成了一种感觉，即零售商不值得信赖，他们不应当将支付卡数据和其他个人数据等敏感信息交给零售商。

攻击CurrentC的黑客或许也同意这一点，并通过最新的黑客活动来证明这一点。

翻译：维金

Retailer-Backed Apple Pay Rival CurrentC Has Been Hacked, Testers’ Email Addresses Stolen