某頭部券商令人窒息的安全後門

美國頭部券商，帳戶安全竟然是草台班子。欲知詳情，請待我分享。

今年2月底我從某大廠離職。在該大廠工作期間，大廠提供了一個工作手機，因為使用這家公司401k管理，所以手機號與這家公司關聯。但是離職當天，我就把這家券商帳戶裡的工作手機號刪乾淨了。此為背景。

過了幾天，我用手機App登入，系統MFA驗證碼的默認接收選項居然還是前司工作號碼。我當時就驚呆了。這要是號碼被前東家回收發給新員工，人家豈不是平白無故喜提我的金融帳戶？

於是我就給他們用系統內信提了安全漏洞報告。兩天後收到回覆，淡定地說和前雇主斷開同步需要「一點時間」。我心想這麼大的公司，這種安全系統小問題用不著我去操心，於是就把這事放下了。

結果，整整四個月後的某一天，我在手機登陸app的時候，被要求進行2fa短信驗證。我驚奇的發現，這個前司號碼，在我離職4個月之後，依然赫然在目。

這次我不是驚呆了，我是怒了，工作n年的養老金全在管理的頭部金融公司，帳號安全居然是草台班子做的！我於是直接一封甩信，告訴他們我要去監管機構舉報他們。同時，一封舉報信直接寫給FINRA。

收到警告的這家券商這周終於動真格了，每天打電話跟我匯報進度，並且興師動眾地跑去和我前司聯合排查系統漏洞。然後高潮來了。這個漏洞無法修復。在他們幾天跟我前司來回debug之後，

居然
沒有
找到
原因
所在

他們一籌莫展地打電話給我，讓我試著從app登陸看漏洞是否還存在，我於是現場打開app重新登陸，然後，那個前司的、現在已經不知道誰在使用的號碼，依然，赫然在目。

這一波神操作讓我對金融機構的安全神話徹底幻滅。我可以想象，他們trillion dollar management的系統底層全是髒數據和永久緩存，前後台數據脫節得離譜。這已經是全球top幾的金融管理公司，尚且如此，其他金融機構，可想而知。

本人前司公司和該金融機構名稱暫且略過，避免這種重大系統安全漏洞遭人利用。当然，名字很好猜，如果你是黑客，欢迎尝试，毕竟这种漏洞，被黑客发现，只是时间问题。

如果你是普通人，看到這個帖子，建議把你所有的银行、券商的App都下載一遍，哪怕你本來不用他們的App。然後，測試一遍他們的2FA，看是否有陌生號碼出現。

正是：資產兆元高大上，底層代碼草台班；離職四月魂不散，安全全扯JB淡。

补充内容 (2026-07-11 13:10 +08:00):
樓下的匿名槓精 一率不回啊
實在覺得你有理 實名回復 再作探討

补充内容 (2026-07-11 13:34 +08:00):
樓下某燈說:“自己的401K用公司手机 最大的漏洞在这“
我給翻譯翻譯: 被强奸 是因为裙子穿太短

补充内容 (2026-07-16 23:11 +08:00):
經過一週 debug，券商發現，我前司已經把我的電話信息移除，但我的現司在設置 401k 的時候，使用了我前司的工作電話。然而我查詢了我現司的員工信息系統，發現我只提供了我的私人電話。
我現司為什麼會有我前司工作電話呢？因為在面試階段，我使用了這個電話。現司的草台班子，把這個電話寫入了後台什麼數據庫中，這個數據庫估計跟我入職登記時的信息不連通，所以電話無法更新。
所以這個系統漏洞實錘了：

• 大廠的員工信息系統里，會存取一些他們自己獲取的信息，這些信息並非由員工認可，但無法更新；
• 券商對各種不同渠道獲得的電話聯絡方式，沒有設置對應的 scope，單個 401k 帳戶關聯的電話會被用作所有帳戶的 2FA 認證渠道。

律師們，又一個千萬級別的集體訴訟時機在這裡，動起來吧。

自己的401k用公司的手机号验证，最大的漏洞在这

楼主这个 Action Item 太及时。
估计是前台点了删除，后台只改了一个soft delete，结果IdP的缓存过期时间被设成了永久。兆亿资产跑在这种屎山代码上，真是不可想象的定时炸弹。
楼里的受害者有罪论也是奇葩。这种就是数据存储时效失控的系统性风险。今天是楼主的电话更新，明天就是你们的住址更新、银行关联账户更新、turbotax数据共享更新。覆巢之下，安有完卵？

当年我用 etrade 忘了密码，最后轻松回答几个问题就获取了账号，从此不敢再用他家。

最恐怖的是回答的问题不是我自己设置的security question, 是关于我个人信息的一些东西，生日之类而已。

这个是你自己设置的吧，401k怎么能用公司的手机号

公司ID的联系电话，和券商的联系电话，和券商的MFA电话，应该是不同的东西。

WF? Zszs

這招BUG是不是叫覆水難收？
你自願提供數據後就打死鐵布衫了

老牌大型金融公司的系统存在已久，运作稳定，但是升级牵涉方方面面，相对困难，通常是补丁加补丁，安全，也是最不安全的。不必大惊小怪。

再正常不过了。。。。除了创始人是技术出身的公司，其他所有公司都不要迷信他们他和技术负债。。。金融公司本来就不是tech driven。。他们哪里care这些东西。哪天要是google出了这种安全篓子估计全世界都💊