PSA：在 Runway 上，一个团队邀请可以立即向您的卡收费，而且完全没有安全通知。

发布此帖作为警告，而非指控。有人进入了我的 Runway 账户，我希望人们知道这实际上会付出什么代价，因为其中的机制让我惊讶。 **发生了什么** 9月13日，一个未经授权的方访问了我的账户，并向一个不属于我的 Gmail 地址发送了 Editor 邀请。这个单次邀请自动将我的单座位 Pro 订阅转换为 2 座位的 Team 计划，并立即向我的卡收费 €100.27。没有确认步骤，没有“您确定吗”，什么都没有。发票正好显示了这一点：€11.65 的信用额度用于未使用的 Pro 时间，以及 €91.86 的费用用于“剩余时间在 2 × Team”。第二个座位从未被使用。邀请仍显示为 PENDING，受邀地址显示 0 个信用额度已使用，我的工作区仍显示“1/2 个座位在使用中”。我为空座位支付了 100 欧元，从未有人登录过。 **真正重要的部分** 我没有收到任何类型的通知。没有新登录的电子邮件。没有来自我从未使用过的设备或位置的电子邮件。没有当我账户发出邀请时的电子邮件。我偶然查看我的计费页面并看到费用才发现问题。这才是真正的问题所在。账户泄露本身可能发生在任何地方——重复使用的密码、恶意的浏览器扩展、其他地方的泄露。但在大多数平台上，你至少会收到一封电子邮件，说“检测到新登录”，你可以在几分钟内做出反应。而在这里，入侵者可以悄无声息地添加座位并向你的卡收费。 **支持** 我在9月14日提交了工单号225964，附上发票号码、攻击者的地址和截图。我收到了自动回复，说专家会尽快跟进。之后我又发送了两次跟进。五天后，仍然没有人类回应。 **我建议所有 Runway 用户** \*\*•\*\* 在 Runway 和关联的电子邮件账户上启用 2FA。 \*\*•\*\* 在 Plan & Billing 中关闭自动充值，以便没有你能防止信用额度被添加。 \*\*•\*\* 定期检查成员列表，查看是否有你未发送的邀请。 \*\*•\*\* 检查 Plan & Billing 中的座位数，看是否有你未添加的。 **我没有说的事** 我并不是声称 Runway 故意向我收费。我没有证据，我也不相信这一点。我所说的是，邀请流程会立即向你收费，没有任何确认，而安全通知的完全缺失将账户泄露转化为直接的财务损失。如果有人遇到过同样的事情，我很想听听是如何解决的。有趣的是，它就这样发生了，而且我在 Runway discord 上看到了很多同样的问题，人们报告相同的问题，但他们不回应，就像对我一样。所以唯一的回应是在 BBB.ORG 上，将对他们采取法律行动。编辑：我在 discord 聊天中告诉那些等待钱的人去 BBB.org，他们立即将我从 discord 移除，可能删除了消息，现在当我将这些全部输入到 [r/runwayml](r/runwayml) 时，他们也删除了。