企业微信人脸识别漏洞

凌晨两点，企业某公司运维老张的微信手机突然震动——企业微信弹出一条“工作台”登录通知，地点显示在境外。人脸他瞬间清醒，识别因为此刻他正躺在北京家里的漏洞床上。

这不是企业灵异事件。老张后来查了日志，微信发现有人利用企业微信的人脸人脸识别漏洞，绕过了活体检测，识别直接调用了他半年前上传的漏洞静态照片。更讽刺的企业是，这个漏洞存在了至少三个月，微信期间企业微信的人脸版本更新了四次，全都与它擦肩而过。识别

问题出在哪儿？漏洞说白了，人脸识别模块对“照片”和“真人”的区分，靠的是一套活体检测算法。但老张用的那版企业微信，在特定网络环境下，居然允许客户端自行上报“活体检测通过”的结果——也就是说，攻击者只需要抓包篡改一个布尔值，就能让服务器认为“这张照片是活的”。

我专门去翻了一些技术论坛的讨论，有人早在两个月前就发帖暗示过这个逻辑漏洞，措辞隐晦，但核心思路清晰：企业微信的某些API接口没有对设备环境做足够校验。帖子底下评论寥寥，大多在嘲笑楼主“想太多”。现在回头看，那哥们儿八成是白帽子，可惜没人当真。

人脸识别这事，比密码更危险。密码泄露了，你还能改。人脸泄露了，你总不能去整容吧？企业微信的用户量摆在那儿，几千万家公司靠它打卡、审批、远程会议。一旦这扇门被撬开，攻击者能干的坏事可不止是偷看聊天记录——他们能冒充你审批财务单，能进你公司的线上会议室旁听，甚至能登录你的管理后台删掉所有同事的账号。

老张的公司算是幸运的，攻击者只是拿他的账号发了几条钓鱼消息，没造成实质损失。但另一个案例就没这么温和了——某家电商公司的财务总监，被人用同样的手法冒充，批了一笔八十万的“供应商付款”。钱转出去的那一刻，真正的总监还在机场排队安检。

说实话，我对企业微信团队的技术底子是有信心的，但这次暴露的问题，更像是产品迭代太快，把安全给甩在了后头。活体检测本来是道不错的防线，可一旦客户端能自己说了算，那这道防线就等于纸糊的。安全领域有个老话：永远别信客户端的判断。显然，这条铁律被某些人忘了。

修复方案其实不难，把活体检测的结果改成服务端强制校验，再加个设备指纹绑定。但问题的根源在于，这世上没有绝对安全的系统，只有不断被漏洞追着跑的厂商。对企业来说，与其等官方补丁，不如先自查：你的人脸识别数据，是不是存在本地？备份有没有加密？离职员工的账号权限，是不是还挂在系统里？

老张现在每天上班第一件事，就是看一眼企业微信的登录记录。他说这习惯得保持到退休——毕竟，人脸这玩意儿，丢一次就够你喝一壶的了。

本文地址：http://www.79wt.cn/news/139b0699854.html