Humble Bundle 网站更新移除双重身份验证和安全验证

据报道，Humble Bundle 的新网站已取消双重身份验证 (2FA)，导致用户账户仅受密码保护。这一转变伴随着标准安全协议的移除，例如更新账户凭证时不再要求提供之前的密码或进行双重输入。

移除多步骤验证

更新后的 Humble Bundle 网站允许用户在不确认旧密码或重复输入新密码的情况下更改密码。此外，系统允许更改电子邮件地址，而无需向当前备案的电子邮件发送验证码。

虽然一些用户报告收到“某些内容已更改”的通知，但这些警报并不总是包含直接联系支持团队的链接。在某些情况下，通知会将用户引导至外部的 AI 安全提供商，而非 Humble Bundle 的内部支持团队。

“Humblebundle 今天刚刚推出了全新的网站，他们基本上把整个安全设置扔到了棚子后面，并把它填满了铅。”

— Humble Bundle just completely killed most of their security through vibecoding

AI 辅助开发的角色

这些安全退步被归因于“vibecoding”，这是一种利用大语言模型 (LLMs) 快速生成代码的开发风格。这种方法可能会优先考虑从零开始重建网站的速度，而非对业务需求和安全风险进行细致的评估。

该方法的批评者认为，虽然 AI 可以快速生成功能代码，但它缺乏识别安全漏洞所需的“常识”标准。这可能导致一个“散弹式”项目，即软件在功能上是完整的，但在结构上是不安全的。

用户影响与风险

缺乏 2FA 和验证步骤显著降低了账户劫持的门槛。如果密码被破解，攻击者可以通过更改关联的电子邮件和密码立即夺取账户控制权，而不会触发任何二次障碍。

此外，报告表明新网站可能启用了“一键式”支付。这种功能与缺乏账户保护相结合，为拥有存储支付方式或关联游戏账户的用户创造了一个高风险环境。