無限制下載Audible有聲書：一場調查

背景

這篇文章我很早以前就想寫了，但因為各種原因遲遲沒有開始。直到最近一位朋友向我推薦淘寶上低價代購Audible有聲書，生怕我不知道而造成了多餘的損失時，我才下定決心動筆。

熟悉有聲讀物的朋友肯定知道，http://Audible.com作為Amazon旗下全球最大的有聲書在線出版和零售平台，很早就推出了包月會員制度。Credit是Audible給其會員的購書額度，一個credit可以購買任意價格的有聲書，該網站最便宜的包月計劃價格為每月15美金，附帶1個credit。

而淘寶上有店家以最低8元人民幣的價格售賣credit，比官方便宜了90%，並且賣的credit確實有效可用，看上去絕對是一筆好買賣。這些淘寶店家到底是從哪兒獲得這麼便宜的credit的呢？

在回答這個問題之前，我想先介紹一下Audible不為人知卻曾持續數年之久的信用卡漏洞，這個漏洞讓用戶有機會從該網站無限制下載任意有聲書，並且風險幾乎為零。

歷史

不知道大家有沒有過這樣的經歷，當你用一張新的信用卡綁定微信、Uber、iTunes商店等在線服務時，即使還沒有消費，對方會立即從此卡上扣取諸如1美元、0.01元等小額費用，以驗證這張信用卡的有效性。這個過程叫做信用卡的預授權(Authorization Hold/Charge)，服務商扣取的小額費用也將會如數還到持卡人賬上。

也許有人會問，難道除了直接從卡里扣錢沒有其他驗證信用卡有效性的方法了嗎？也許有，那就是直接和對應發卡銀行的工作人員/資料庫聯繫比對查詢，但此過程費時費力，成本高且可行性低，服務提供商哪怕放棄這一步驗證也不會選擇這麼做。

Audible便曾是其中之一：在用戶消費之前，它沒有對用戶綁定的信用卡進行預授權，也沒有採用其他任何方法驗證信用卡扣款的有效性。乍一看，這好像也沒什麼大不了的：等到用戶用信用卡購買有聲書或者包月會員服務的時候，假如使用的信用卡無效，那麼此次交易自然也會因為無法付費或扣款失敗而作廢。真正讓有心者有機可乘的地方在：Audible推出的Free Trial會員免費試用服務。

此服務要求新用戶先綁定一張信用卡，成功後即可享受一個月的Gold Membership，並得到一枚credit可以馬上用來買書。買完書後，立即取消此次試用，並刪除綁定的信用卡信息（非必要），Audible便不會在一個月Free Trial到期後開始扣月費。如果有心尋找，你會發現Audible也同時提供Platinum Membership的試用服務，即贈送2枚credit。

至此，以上操作沒有違反Amazon公司的任何條款或其他法律，完全合法合理，也談不上風險。下面是關於Audible這項服務的兩點事實：

1. 同一賬號（即郵箱）無法多次使用Free Trial

2. 同一張信用卡無法被再次用於綁定Free Trial

第一點很容易理解，而第二點就是在說，當此用戶用另一個新的郵箱地址來註冊Audible，並試用會員服務時，不能再使用之前已經綁定過的信用卡。如此一來，好像真的沒有什麼空子可以鑽了。畢竟一個人能擁有的信用卡很有限，頂多切換幾個賬號多試用兩三次，純屬小打小鬧。

然而因為Free Trial的免費性質，像我之前提到的，Audible並不會在用戶綁定信用卡時驗證卡的有效性。那用戶是不是在綁定的時候隨便寫一個位數相當的數字（比如將正確的信用卡卡號改一位數）也能成功呢？

當然沒那麼容易。信用卡在支付上的可靠性雖然需要預授權來驗證，但是信用卡卡號本身的組合卻有一定的組合模式(pattern)：比如Visa卡卡號一定是4開頭，MasterCard則一定是5開頭等等，前六位卡號與發卡機構相關。而卡號的整體也必須滿足Luhn演算法（如下圖）。

因為信用卡卡號具備的以上特徵，大部分涉及到在線信用卡交易的網站（包括Audible）都會在預授權之前先對卡號進行驗證。驗證的過程我在此不再展開，簡而言之就是先通過正則表達式驗證各位卡號，再用上述的Luhn演算法(checksum)對整體的卡號組合進行驗證。一旦通過了這兩步驗證，那麼這個卡號就是語法有效(syntax valid)的，對於Audible來說，用於Free Trial的信用卡也就綁定成功了，其他所有需要填的信息諸如持卡人姓名、到期日等此時都無關緊要。

你可能會想：對於不熟悉代碼的人來說，上哪兒能搞到這樣能用卻又不真實存在的卡號呢？ 答案在諸如 fakenamegenerator.com 這樣的網站里。

Fake Name Generator每刷新一次頁面，就給訪客提供了如上圖隨機生成的姓名、郵箱、電話、住址和最重要的——語法有效卻並不真實存在的信用卡信息。因為Audible對用戶的註冊郵箱也不進行驗證，任何人使用該網站隨機生成的身份郵箱再配合它提供的虛假信用卡信息，可以毫不費力地綁定Audible的Free Trial服務，下載任意一本有聲書，並且無限次重複此操作。

以上，「零成本」獲得無限Audible有聲書的方法已經明朗：

用戶通過Fake Name Generator 或類似網站得到隨機生成的虛假姓名、郵箱及信用卡信息成功註冊Audible提供的Free Trial服務獲得免費有聲書下載，並不斷重複這一行為。

（注：該網站提供的信用卡信息，也可以用來綁定其他不進行預授權的在線服務商（如許多主流第三方酒店預定網站），甚至可以被用於性質更嚴重的犯罪行為。據報道，今年夏天華盛頓大學80餘名留學生因為找人代交學費被騙近100萬美元。根據新聞描述，我推測犯罪嫌疑人先是用虛假信用卡繳納了學費，因為學校相關收費機構缺乏預授權的機制，受騙學生立即收到了來自學校郵箱自動發出的學費收據確認郵件，從而相信學費已經繳納隨後向犯罪嫌疑人打錢。若干天后，當學生們發現學費並沒有真實到學校的賬上時，已經為時已晚。）

看到這兒，也許你會問：為了下書，這麼做難道不違法么？我的回答是肯定的。這是百分百的商業欺詐(Fraud)行為，但是受到起訴的風險卻極低，理由如下：

1. 因為購買的是電子格式的音頻，用戶的收貨地址無法被驗證。至於用戶填寫的其他信息，也很可能全部是虛假的，很難定位到操作者

2. 因為在Free Trial階段Audible對信用卡只有代碼級別的驗證，如果使用此方法的用戶下完書之後在一個月之內自行取消試用期會員資格，那麼Audible將不會再對這張卡進行任何操作，理論上也就無法確認用戶是否使用了虛假信用卡信息

3. 在中國尚無業務部門的Audible對國內用戶的法律限制極其有限

媒體曝光

上述的這套流程，我大概在2012年開始有所了解（你問我有沒有親自試過？我拒絕回答）。而直到2014年中旬，才終於有媒體報道此事。Business Insider在2014年9月15日發布了一篇題為A Loophole In Audible Allows Anyone To Download Unlimited Audio Books For Free的文章，甚至披露了比上述還要大的一個漏洞。

文章寫道，通過利用虛假身份和信用卡信息以及簡單的幾步操作，任何人都可以直接在Audible購買價格最貴的白金會員包年服務（年費230美元），得到24枚credit用於購書。這樣一來，無限制下載有聲書的效率就更高了。

對此，Audible給Business Insider的回復是:

"This is a fraud issue, not a security issue."

這樣的說辭顯然是無法讓人滿意的，哪怕是稍有IT安全常識也應該知道，Never Trust Users 是開發者和系統管理人員應該牢記的原則之一，也是最低特權原則的原因之一。讓用戶的違法成本如此之低，客觀上Audible也要負一定的責任。

所幸的是，Audible已於2015年加入了對信用卡的「預授權」，這樣的違法行徑也就再也行不通了，成為歷史。

代購調查

有了上面的背景知識，當我們再來看淘寶上售價低至8人民幣的credit的來路時，也就沒那麼難解了。不過有一點疑問首先需要解決，就是Audible只允許送書，並不允許贈送credit，那麼賣家是如何做到向客戶賬戶中充值credit的呢？

解決這個問題最快的辦法，就是自己去淘寶上買一個credit一看究竟了。我隨意找了一家店下單之後，馬上收到了賣家發來的兌換碼，是一枚Gift Redeem Code。

當我在Audible相關頁面輸入Redeem Code後，Audible提示我對方贈送的書不在我所在地區販賣，贈書因此自動轉換成了一枚credit。而當我查看贈送詳情時，發現贈送者的郵箱為mdl93i1sv7czx@vistomail.com，非常像一個隨機生成的郵箱地址。t

至此，我的推理也已成型：

賣家在Audible信用卡漏洞未修復的時間裡，通過隨機生成的匿名郵箱註冊了數以百計的Audible賬號，並以前面所述的方法獲得大量的credit。隨後，賣家通過修改賬戶地區信息，消耗credit用於打包贈送一本美國區賬號無法購買的有聲書，而接收人的郵箱則是屬於賣家自己的固定郵箱——這樣賣家就可以得到此贈品的禮品兌換碼。通過不斷消耗credit重複以上操作，賣家得以囤積大量的有聲書禮品兌換碼。當淘寶上的用戶想要購買credit時，直接將此兌換碼給予對方即可。

以上雖然是比較粗糙的推理，但也絕對經得起推敲。如果說利用虛假信息為自己下載有聲書還不算作了多大惡的話，靠這個非法盈利就有點太不上道了。當然，本文對曾經購買有聲書代購的朋友一點也沒有批判之意，只是如果了解情況的人多一些，總是好事。

-------------

參考鏈接：

* https://web.archive.org/web/20120916020157/http://justbeingblunt.blogspot.com/2011/12/how-to-get-unlimited-free-audible.html

題圖 by 401(K)2013 via Flickr

首發於微信公眾號 audiocat