手機收到陌生驗證碼 這種新型網絡盜竊正來襲

一覺醒來，一般會發現什么是最糟糕的？鬧鐘沒響要遲到了？電視忘記關了播了一夜？還是把脖子睡歪了？如今，這些都不算大事了，因為你如果遇到睡了一覺后，所有賬號內的錢被洗劫一空，同時還欠下一屁股債的情形，或許才知道什么叫最糟糕。而這樣的糟糕事，如今卻越來越多地發生在一群晚上睡覺不關手機的人身上。

新型網絡盜竊案頻發睡夢中錢被轉走還“被網貸”

據網絡安全平臺公布的消息顯示，不少用戶通過社交平臺表示自己遇到了“怪事”。據受害網友描述，自己在熟睡的晚上，手機莫名地收到多個支付平臺和第三方金融應用的登錄驗證碼短信，隨后便是修改密碼、設置新密碼的驗證碼短信，最后就是賬戶的錢被轉出，甚至被開通網上貸款。

當受害網友一覺醒來，發現手機收到如此多的短信，一夜之間自己賬戶存款不翼而飛，甚至還因為“被網貸”而欠下一筆巨資后，往往已經是于事無補。

據南方日報記者了解，類似的網絡盜竊案從今年開始在全國各地都時有發生，其中7月在廣州警方破獲的一起案件中，犯罪團伙自6月份以來已作案16宗。

“這是一種最新型的詐騙手法。”據廣州越秀警方介紹，騙子通過“GSM劫持+短信嗅探技術”，可實時獲取用戶手機短信內容，進而利用各大知名銀行、網站、移動支付APP存在的技術漏洞和缺陷，實現信息竊取、資金盜刷和網絡詐騙等犯罪。

截至今年6月，廣州警方已陸續破獲多起此類案件。據悉，犯罪團伙大多選擇凌晨作案，無需直接與事主接觸，因此大部分事主無法及時察覺資金被盜。

網絡安全專家釋疑2G網絡存在短板

“這種攻擊（‘GSM劫持+短信嗅探技術’）的原理是因為GSM短信沒有加密，所以不法分子可以用一些竊聽手法聽到短信內容。”360無線電安全研究院高級研究員黃琳在接受南方日報記者采訪時就解釋了不法分子的具體步驟。“攻擊者只聽到短信，其實沒什么用，短信驗證碼需要配合網站或者APP的驗證過程才能起作用。所以，攻擊者必須要知道目標的手機號碼，可能還需要其他信息，例如身份證號，銀行賬號等等，其實這些信息可以通過‘撞庫’，或者通過侵入某些應用的賬戶來獲得。”

據黃琳介紹，不法分子只需要一個2G偽基站+一個2G偽終端，讓目標手機接入2G偽基站，然后用2G偽終端冒充目標手機，接入運營商網絡。在連接過程中，需要鑒權信息的時候，就從目標手機獲取。在連上網絡之后，向外呼出一個電話，到攻擊者能看到的一個手機上，攻擊者通過來電顯示就看到了手機號碼。黃琳表示，在不少案例中，受害者都反映其通話記錄中會有一個外呼的電話，這個電話就有可能是用于獲取手機號碼的。

“只要數據流量、通話、短信走3G或者4G通道，安全系數還是比較高的。短板就是2G網絡！”黃琳表示，長期處于2G的一些老式手機，或者雙卡手機其中一張卡是2G，所有電話短信和流量走2G的用戶，都是“GSM劫持+短信嗅探技術”攻擊的潛在對象。

APP應用應負責任沒有絕對安全的通道

資料顯示，在今年年初，在全國信息安全標準化技術委員會（簡稱“TC260”）秘書處牽頭下，三大運營商和各互聯網公司的安全專家們一起編制了《網絡安全實踐指南——應對截獲短信驗證碼實施網絡身份假冒攻擊的技術指引》，提出多項加強身份驗證安全性的建議，除短信驗證碼外還新增了短信上行驗證、語音通話傳輸、常用設備綁定、生物特征識別、動態選擇身份驗證方式等諸多二次驗證機制。

“難點在于，現在我們還不能徹底拋棄短信驗證碼。中國網民跟國外網民的不同點是，國外網民是從PC時代過來的，習慣于使用郵箱，用戶名密碼。中國網民是從移動互聯網時代成長起來的，手機就是唯一的標識。”黃琳表示，APP平臺對于短信驗證碼用還是不用的問題一直處于爭論當中，但基本上都保留了短信驗證碼通道，因為這個通道的“可用性”是最優先的。“各大互聯網公司對這個問題是早有準備的，如果有漏網之魚，那是我們的風險控制系統做得還不夠好。”

◆支招

普通用戶如何防范睡覺關手機也許最有效

“要實現‘GSM劫持+短信嗅探技術’攻擊會讓手機的‘動靜’比較大，這個也是犯罪分子大多選擇后半夜作案的原因。”騰訊安全的技術人員在接受南方日報記者采訪時就表示，作為普通網民來說，最簡單的一招就是睡覺前關機。“手機關機后就沒有了信號，短信嗅探設備就無法獲取到你的手機號。如果發現手機收到來歷不明的驗證碼，表明此刻犯罪分子可能正在撞庫或者利用某些漏洞來確定你的信息，可以立即關機或者啟動飛行模式，并移動位置（大城市可能幾百米左右即可），逃出設備覆蓋的范圍。另外還要注意自己手機信號模式改變。”騰訊安全的技術人員表示，在穩定的4G網絡環境下，手機信號突然降頻“GSM”、“G”或者無信號時，警惕遇到黑客實施的強制“降頻”及GSM Hack攻擊，要及時更換網絡環境，重新連接真實基站，檢查移動APP異常惡意操作情況。

騰訊安全的技術人員還建議，在手機設置上，用戶可以使用“VoLTE”保護信息安全：在手機設置中開啟“VoLTE”選項，目前主流安卓或iphone手機均已支持。（VoLTE：Voice over LTE，是一種數據傳輸技術，無需2G或3G，可實現數據與語音業務在4G網絡同時傳輸）同時，用戶最好關閉一些網站、APP的免密支付功能，主動降低每日最高消費額度；如果看到有銀行或者其他金融機構發來的驗證碼，除了立即關機或啟動飛行模式外，還要迅速采取輸錯密碼、掛失的手段凍結銀行卡或支付賬號，避免損失擴大。