触目惊心！一部手机丢失后有多可怕？多平台中招，支付宝、银联紧急回应

触目惊心！一部手机丢失后有多可怕？多平台中招，支付宝、银联紧急回应

9月4日——

7:30：我正带着大孩子去理发店理发。 老婆来告诉我，在小区门口推老二买水果的时候，婴儿车包里的手机被偷了。 此时眼看着的上市，一年一度的换机季又要来临了。 说丢了之后，又用另一部手机拨，结果对方接通后关机。 我不知道当时我是怎么想的，但我觉得也许有机会把它拿回来。 手机卡挂失没有第一时间挂失，设置了在线通知华为取回手机（这个草率的决定导致了后来的悲剧）。

8:51：对方取出卡插入另一部手机开机。 后来，他通过查看通话和短信详情才知道。 只用了一个多小时。 对方从高新区直奔成华区。 交通状况相当极端。

9点24分：家人发现被盗手机可以拨打，但我这边的“查找我的手机”显示还没有在线，但没过两分钟我的手机就收到了手机在线的通知在成华区，瞬间回头发现手机界面，设备解绑，顿时有种不好的预感，一般的小偷不会这么快这么熟练的。

立即拨打10000挂失手机卡，但此时电信业务密码已经不正确，通过验证身份证号码并提供我上个月联系的三个电话号码挂失。 开始采取应急措施，登录手机银行赎回所有可立即赎回的理财，将当前余额全部转入我的账户，联系多家银行冻结信用卡，支付宝和微信转账，删除所有绑定信用卡考虑到有些储蓄卡余额为0，对方不知道我的卡号，所以我没有挂失。

9:48：家属说电话还能接通。 他们立即拨通了10000号码，询问为什么还打不通。 他们回复卡正常，继续挂失。

9:55：越想越不对劲，又打10000问挂失失败的原因。 收到回复说第一次挂失成功，后来又取消了。

还有这种操作，打电话取消挂失。 这是我第一次知道。 常识认为，如果我挂失了，我应该带着我的身份证去营业厅取消挂失，包括稍后挂失。 警察在听到报告后仍然可以打电话。 脱钩也很意外。

但显然对方是有备而来。 在后来的分析中，我认为连偷手机的时间都是提前定好的。 对方对电信的业务流程了如指掌。 这也让我后来的补救措施变得非常被动。 .

根据银联卡绑定信息，我继续给银行打电话，一张一张冻结储蓄卡。 由于建行etc信用卡已经解绑，第二天又要上高速，所以也没在意。

期间遗失了妻子10多年前发的一张建行卡和一张工商银行卡，再次被掩埋。

00:23：发现支付宝和微信相继下线。 重要的是登录的设备和丢失的手机是同一型号！ 完了，遇到高手了，华为锁屏密码解开了。

马上申请冻结（后来发现已经晚了，对方操作的很快，这时候支付宝的手机号已经换了，怀疑多人同时操作。） 在同时，申请冻结微信，立即登录京东、苏宁、国美等常用APP更改关联手机号。 过了一会儿，我的手机收到了京东的短信验证码。 感觉接下来的几个app应该存起来了（小蜜信心满满，结果还是被打脸了），就喘口气休息了。

分析对方的意图，我认为如果我不能从所有银行卡和支付余额中偷钱，我可能会用我妻子的信息申请贷款，但同时我认为贷款可以只能放在我的银行卡里，而且我需要有银行卡密码才能转出（长期以来我的支付密码和银行卡密码一直是一样的，我什至忘了这两个密码不是一回事。后来才知道对方用了魔术，银行卡密码和支付密码根本不会影响对方），应该问题不大。 此外，期间因电信手机卡“挂失”和“注销”而紧张，又遗漏了一张成都银行社保金融卡。

第二天晚上，就是我挂失对方解约的循环，在10000号上来来回回几十次。 至于我为什么坚持，是因为我觉得虽然我保留了重要的应用程序和银行账户，但我仍然看不到对方想要做什么。 不过，既然对方这么执着要给我解锁手机卡，那肯定是有急事。 抱着敌人要什么，他们就不会给的信念，我坚持了一夜。

这期间，我们很被动，因为不知道他什么时候会摘机，只能躺在床上不停地拨打被盗的电话号码，第一时间拨打10000挂失。

中间多次拨打10000客服电话告知手机被盗，不法分子正在解绑手机卡作案。 我让他们通知领导，批准后冻结手机卡，明天早上去营业厅换卡，都被拒绝了。

由于一晚上几十笔生意，还被客服叮嘱，“你们自己的私事，不要占用公共资源”，不知道对方是怎么忽悠客服的。 我问有没有其他办法自己挂失，回答没有。 我只能继续坚持。 最后不知道客服是不是受不了我们了。 10000条短信告诉我可以在网吧自己办理，登录电信网吧，试试用软件自动挂失。 但是，因特网馆的一些安全限制，使之成为不可能。 使用软件练习自动化挂失流程，继续手动操作。

5:00：刚注意到网吧有关闭短信的业务。 心想如果对方是高手的话，我关了对方说不定马上就会发现，但也有可能对方只是流水线上的犯罪剧本操作员。 你可以赌一把。 反正我也没什么损失，把打开短信的步骤加到他们身上。

（后来查看短信详情时，发现是关闭短信功能的操作打断了他们后续的犯罪行为，否则损失肯定更严重）

9月5日一直呆到9点：开车送老婆到营业厅开门，9点08完成补卡。 婆婆打来电话说我老婆的电话接通了，但是接电话的是一个男人。 我回答说可能是营业厅的。 售货员接了过来。 几分钟后，老婆办完卡回来了，问婆婆刚才的电话是怎么回事。 她说她没有接到电话，手机一直在她手里。 经查，确实没有通话记录，手机呼出也正常，短信收发也正常。 继续拨打10000，询问手机是否开通呼叫转移，得到确认回复，验证身份证后关闭业务。 关机前，向接线员索要转移的电话号码（准备提交，以防以后要报警）。

开始恢复位置并检查是否有损坏。 检索了支付宝、微信、云闪付，发现除了支付宝的手机号换了，但是因为账户本身被冻结了，所以没在意。 云杉福管理的银行卡的交易记录基本没有异常，只有一张工行卡多了280元（奇怪），好像是从千代宝转过来的，感觉奇怪，下载了个app想想用手机号登录千代宝，查看：APP异常，无法登录，暂时不管。

约了朋友泡了峨眉山的温泉，喝了一瓶乐虎，一瓶红牛，一瓶咖啡，就出发去峨眉山了。 途中，我继续查看各个支付账户，似乎没有什么异常。 下午抵达峨眉山，泡温泉池休息，恢复体力。 打算晚上到电信营业厅查明细账单，看看对方做了什么。

晚上查明细前，老婆习惯性登录支付宝输入手机号，发现密码不对。 我赶紧用手机找了回来。 一张被我们遗忘的建行卡，一张建行ETC信用卡（办完后一直在抽屉里吃灰等），账单里有充值消费记录，还有被封号后的充值退款记录支付宝的风控。 这时我们才发现原来绑定银联的信用卡被对方解绑了银联，所以没有发现任何异常。

9月5日凌晨4点左右，我登录建行网银，发现一条美团转账5000元的记录。我蹲下来，然后查看etc信用卡，上面有几千条各种刷卡、充值的记录，几千条银联转账记录。 最坏的情况还是发生了。

下载完短信和通话明细后，我开始分析通话和短信，一一核对。 打电话的基本上都是银行和银联。 我在短信记录中查到的源号是社保局、华为、腾讯、银联，不知道106开头的服务号是哪个机构的，比如易宝、微信、支付宝等。 , 分析没有结果。

两人开始从头到尾回忆细节，开始一一分析。 这个时候，资深渗透测试工程师的优势就体现出来了。

有几件事没有意义：

1、修改电信业务密码需要身份证号

2.没有从华为密码网站解锁锁屏密码的功能。

第一个我觉得可能是我从社工数据库查到了身份证号，第二个是根据百度的结果，老版华为emui账号登录后可以远程锁机，设置新密码，然后使用新密码解锁屏幕，进入手机（此操作未实际验证）。

这是另一件没有意义的事情：

1.支付绑定卡需要填写完整的银行卡号。 你怎么得到它？ 一开始以为可以去问问银行的客服，但是面完之后，我做不到；

但是在查看支付宝的银行卡管理功能时，发现如果有支付密码，可以使用支付宝内置的卡号查询功能获取银行卡的完整卡号。 这个功能好久没用了。

但是还有一点说不通：

2、重置支付密码所需条件（人脸、短信+密保问题、短信+银行卡信息、银行卡+密保问题）。 如果没有照片，那张脸应该不行。 我们设置的密保问题基本是你不会猜到的，只是一条短信加一张银行卡而已

（其实最后才知道对方可以刷脸、短信、银行卡验证，连支付宝都自己新建了一个，支付密码也是自己设的）。

那么剩下的步骤就比较清楚了，

剩下的就是苏宁金融的刷卡消费了，我还是持怀疑态度的。 我们非常确定他们是如何获得我的信用卡 cvv 的。 etc信用卡自申请以来从未离开过抽屉。 从银行客服那里最多能知道的就是信用卡的有效期。

（后来发现支付公司现在绑定信用卡根本不验证有效日期和CVV，都是简单粗暴的身份信息+卡号+预留手机号，有的甚至不使用预留的手机号码）。

整理好所有资料后，准备联系各家支付公司商量说明。 一圈下来，结果是：

准备一些材料，包括电话、短信记录、银行对账单等零散的材料，准备赶回去报警。 毕竟事情发生在小区门口，团伙作案，很有可能会再次作案。 此事整理后发到机主群，让大家未雨绸缪，提醒大家设置sim卡密码。 众人也是一惊，不过对于身份证号和银行卡号是怎么弄到的，都表示疑惑。 中间的手机也陆续收到了数个财付通的支付验证码，但是登录账户后却没有发现有绑定卡。

想清楚了，已经是凌晨四点多了。 一早赶往成都。 路上的云闪付主动联系我们，要求我们报警后提交报案回执等材料。 看来我们可能要赔偿了。 美团也打电话推卸责任，但还是要我们提供证据材料给他们。

派出所的民警听了我们的经历后很惊讶，说从来没有遇到过这种人偷手机。 我应该是第一个报告这个案子的人。 老婆进去做笔记，花了好几个小时。 出来的时候把里面的情况说了一遍。 警察叔叔们纷纷表示，“这不可能”，“一定是你手机里的银行卡信息被泄露了”，“你是不是把身份证照片放在手机里了”，还有做完备案，又要我们打印银行对账单，好几家建行都关门了，只好等第二天去取 。

晚上回去的时候，夫妻俩在电脑前不断回忆所有的细节，贯穿整个过程，必要时还用我的各种APP和账号进行实验，验证自己的分析判断。 虽然充了手机卡，冻结了银行卡，找回了带支付功能的软件，改了各种密码，但总觉得哪里不对。

突然收到了财付通的支付验证码请求，然后关联到之前的疑点，一下子就想通了。 他把我们的银行卡和其他支付账户绑定了，包括他用手机号登录苏宁，发现登录的是新创建的苏宁账户，包括支付宝，也是新创建的。 至于他们的新账号是怎么通过实名认证的，后面再说。

也就是说，除了这些APP之外，我肯定在很多其他APP上用自己的信息创建了新账户，绑定了银行卡，通过了实名认证，并自己设置了支付密码。

一个一个查看APP，发现支付宝、苏宁、京东都是用我们的手机号创建的，里面有消费记录。 消耗。

问题又来了。 他们用我的手机号创建的账户，我们可以一一尝试，但我们不能猜到用其他手机号创建的账户，比如银联、财付通、苏宁金融等。 我们在流水里找到了一条转账消费记录，但是找不到对应的账号。

让我们回到上面的问题：

综上所述，需要有一个地方，可以通过手机号和收到的短信验证码获取姓名、身份证号、银行卡号。

我觉得我这几天有点不舒服。 当我遇到这种不幸时，我并没有生气、沮丧或慌张，而是出奇的兴奋。 几天后几个小时没睡，不停的研究分析，几乎研究了对方的操作模式，发挥了IT男追根究底的特点。

我们继续冷静分析。 与犯罪分子的行为步骤关系最密切的是电信营业厅获取的短信和电话记录。 查出短信记录，除了第一条记录是犯人发给他的手机号外，他收到了两条来自12333社保局的短信。 前两天没注意，还以为是老婆公司发来的要交社保的短信，仔细分析后发现不对劲。

一是短信发送时间可疑。 非工作时间发社保缴费通知书不正常，连续发两份也不正常。 这就是突破点。 社保系统里肯定有身份证信息。

打开四川省人力资源和社会保障厅网站，看到一个四川省人力资源和社会保障厅APP下载二维码。 下载并打开应用程序的那一刻，你就会明白，“快速登录”、“短信验证码”、“电子社保卡”这些关键词让我眼花缭乱。

发送短信验证码登录。点击“电子社保卡”，发现需要社保密码，继续忘记社保密码，短信验证码重置社保密码，全部恰好是12333的两个短信验证码，然后展现在你面前的内容就直接解释了上面三项的混淆。

身份证信息，身份证照片，社保金融卡的银行卡信息，有了这些东西，一切都可以顺利进行。

回到之前的支付宝卡绑定流程，“无需手动输入卡号，即可快速绑定卡”。 卡片绑定功能好几年没用了，现在这么高端。

选择银行点进去后，会直接出来一个我在该银行下的所有银行卡的列表，选择一张信用卡，然后绑定卡。 CVV和有效期只是浮云。 人们只是用一个简单的短信验证码来验证。 这样就可以很方便的通过支付宝查询自己所有银行卡的卡​​号。

最后总结分析一波。 这条黑色生产链的全貌如下：

1、前线扒手在特定时间选择目标：年轻人、手机支付频率高，趁对方分心时出手。 犯罪时间；

2、拿到手机后，迅速送到团伙窝点，迅速完成身份证信息获取、电信服务密码、手机厂商服务登录密码修改，一下子让受害人处于被动状态；

3、获取所有银行卡信息，利用技术手段绕过真人人脸识别验证，在各平台新建账户，绑定受害人银行卡。

4、选择几家风控不严的支付公司，开始申请网贷。 贷款到账后，给虚拟卡充值，购买虚拟卡，通过银联转账转账。

5. 保留新建支付账户的权限。 如果没有被发现，后面还可以继续盗取资金。

在这一系列的过程中，对方有几点是我比较信服的：

1、全程使用正常业务操作，但各机构“弱验证”相关业务串连在一起，造成巨大损失；

2、人脸验证需通过技术手段，利用图像处理技术绕过活体人脸识别验证；

3、团队分工协作能力太强。 感觉在处理的过程中用了最快的速度，却总是晚了一步；

4、注意隐蔽，留好退路，包括删掉我云闪付的一些卡，不让我查明细。 通过创建新账户，如果找不到，我会抢着解冻银行卡，以后还会有第二波攻击； 包括我换卡后修改服务密码前设置呼叫转移。

分析完犯罪分子，再来看整个过程中涉及的机构“问题”。 其实把这个环节的每个点都放到对应的业务节点里问题不大，但是手机丢了之后，把这些点都放在一起，问题就变大了：

1、四川电信：整个过程我觉得是最负责的。 挂失解封的风骚业务规则让我无语。 既然挂失了手机充值卡密码自动扫描软件，就不能认为手机已经不在失主身边了。 有时间限制还是需要营业厅办理？ 就算之前的失误都不管了，同一个手机号半夜来来回回报了几十遍。 用业务话术敷衍客户，“对不起，我们有固定的挂失业务流程，只要对方能提供服务密码，就可以正常解决”。 我们全家就是拿着电话跟不法分子通宵不睡，最后造成了经济损失。 四川电信跟进投诉。

2、四川省人力资源和社会保障学会：作用大家都能理解。 两条短信验证码泄露了所有关键信息，但我也说不上他犯了什么罪。 毕竟他们本身不是金融机构，个人信息如何保护也没有标准。

但这件事并没有那么简单。 如果把四川人社换成XX人社或者四川XX可能也是一样的结果。 这个黑产链条在设计的时候，有很多种获取ID号的方式。 至少我在这里。 从网上下载了几个本地社保APP后，可以找到和四川人社保APP一样的登录密码找回，使用的是手机短信验证。

3、华为：其实你把华为换成小米，结果是一样的。 只能说找回密码业务的验证太简单了。

还有网上说使用emui 5.0的手机可以远程解锁屏幕和锁屏密码。 这个我没有验证过，但是从我的支付宝推送下线时提示对方使用的手机型号来看，大概率是有可能的。

4、支付宝：先不说为什么同一个身份信息可以注册两个账户。 你的快捷卡绑定加快了卡绑定的便捷性，但是你考虑过安全性吗？ 当然，支付宝的风控很强，确实发现了异常交易，收回了资金。

但绕过人脸识别进行实名认证也是事实。

5、美团：你想发展业务，放宽贷款限制。 这个我倒是无所谓，但是你能做好贷款审批的风控吗？ 凌晨4点有贷款正常吗？

6、苏宁金融：在所有涉及的支付机构中，态度最差的一家。 当案件发生时，接到用户举报后首先想到的就是推卸责任。 “你报案了吗？如果警方有需要，我们会做好配合的！唉，你的经济损失，只能由你来承担了。” 中间打了两个电话，基本的语气是这样的。 它也是一家支付公司。 支付宝风控可以识别异常刷单，苏宁金融完全没有察觉。 一个新注册的账号，凌晨三四点挂卡，然后购买各种虚拟卡，话费充值等等不易被追查的产品，这不是属于高危异常行为吗？

7、银联云闪付：与其他支付公司一样，存在卡绑定验证不严的问题。 不过，他们的态度还是不错的。 凌晨三四点，客服人员都能以极好的态度与我们沟通，让我们安心。 第二天，一位专员联系我们并告诉我们昨晚报告的损失报告不足。 他们发现我们还有其他损失，并详细说明了如何申请理赔。 第二天，他们的内部调查发现了一个新的。 尽快联系我们，让我们知道进展情况。

8、财付通：人工客服太难找，但风控还是有效果的。 这两天手机充值卡密码自动扫描软件，在没有通知我们的情况下，陆续追回了几笔交易金额。

9、京东：不想说了，反正是“交易已经发生，损失自负”，还好只是一张100元的游戏充值卡。

10.百度：对方操作的时候我把短信功能关掉了，对方只绑定了一张银行卡，还没来得及消费，就不用找了原因。

大多数支付机构基本上都有一个现象：

支付机构正在推广“快捷绑定卡”，速度快，点几下鼠标就可以绑定卡。 除了短信验证码，支付宝的快捷绑定卡也会验证支付密码，不过好像意义不大。 比如我的情况，支付账号是别人用我的信息创建的，支付密码也是他设置的。

说完他们，最后说说我们吧。

通过这几天的经历，不管中间的剧情有多少波折，我作为一个有10多年信息安全经验的老骆驼，都会被这样折腾。 我真的不希望每个人都有和我一样的经历。 提一下我认为我们个人可以做的最简单有效的防护措施：

在您的 SIM 卡上设置密码并为您的手机设置屏幕锁定。 这样一来，如果手机丢失了，就不用担心别人把卡拔出来插到另一部手机上继续使用了。

以华为手机为例：设置-安全-更多安全设置-加密和凭证-设置卡锁，选择手机卡，启用密码（此时默认密码为1234或0000），然后选择修改密码，输入原密码1234，再输入两次新密码，完成sim卡密码设置。

同时，如果遇到和我一样的情况，除了冻结所有银行卡外，还需要更换所有银行卡预留的手机号码；

同时，您可以登录网上银行或手机银行，使用快捷支付管理功能查看绑定了哪些支付公司，然后尝试用您的手机号登录那些APP，可能会有意想不到的收获。 理赔了，自己也能挽回一点。

For , I found a card on the by the other party that I hadn't had time to spend yet.

And is this the end of the ? Not , I told my wife when we re- the phone card on 5th, we be of calls, text , and the . The meat that the other party is about to eat is torn off a large piece, and they have some about you in their hands. They will not be . Be of and phone scams. In the past two days, she has text on her phone, and she doesn't to guess any , she just them .

The case I have is to the loss in the news two years ago. The other party used the ID card to go to the hall to the card, which led to the loss of the bank . The is the phone card. The of the has great to our lives, and the of is and . I hope that can learn from my and , and take in . Don't learn from me in case of , and the loss of phone cards as soon as . , all bank cards.

-up

9——

After a few days of with a black gang, I this , and the black chain of and fund theft by the theft of a phone based on the of my own and . "The , the by this after its , my . I don't want the of the case , which were only for the of the , to a hot on the . I also that I will to when there is any new in the .

On the of this day ( 11), in the me, 's loan were , and paid us of in . Due to the of 's loan , to pay 300 yuan more than the loss he . has been for a . The of Cloud has also been to the . As for the of , we can't to pay back any less, but we can't ask for more.

When I the last , I and many of the steps of the black gang based on the I could . The of the also the of all , and out that the in some were wrong. The place.

For , when face is , when is doing , for the sub- and in on the phone, the real-name , the of the are to be with the main the risk rules Next, face is not . Many in our also that this is true when they a of my brush this . The of face is wrong. It also why need to the phone to log in to , in order not to 's risk rules.

As for , I also took the to my wife today to for the that night, and that the other party told their that it was a male and . I can only say that the are very , but for From the of , I still can't agree with the of loss and . 中间有个小插曲。 In order to an text in my text list at the time of the , I 10000 again to my and asked to check the 's to the of the text . The me. I to find out, I am happy to be . At least it shows that the of is still valid.

Let's talk about the case of and then bank card . Since the was , have also left on the , that they have the same scene, but the of is large. The most one There are 680,000 loans, and they are still .

When for cases on the , I found a news in 2019 - "Login to with SIM card! the ”, you can if you are , and the in the news are the same as the case I , that the way to is .

As , such a set of by must have a plan for the easy link of . As far as I know, it is easy to SMS . Easy to , such as hotel chain apps (such as , ), (such as where to go), these apps and that ID card , it is not that they do not know the risk of ID card , but in front of the "user " of the , is no a . After all, the of cases like mine is still not much. Qunar as an , in the list of , the ID card is and , but when you click to enter the , it is in plain text:

Is it to to add to data? Let's take a look at Ctrip's :

I don't know how much user can be by the ID in plain text on the , but the in is 0% and 100%.

I saw an in today, "Li Wei, of the and of the Bank: The of Pay to the of ", and my case to fit some of the in the . Li three at the press on 8:

The third part that while using to , , and user , some have to a , the of risk , and the of their . new .

back at the "quick card " that major apps are now, it is and than the bank card , but is the and the , the ? After my , many said that they had which bank they had a bank card with, and they to find out and it, and asked what could be done.

, let's talk about set the SIM card in my last . There are main :

Of , there are still some risks in such a loop, such as using a GSM man-in-the- to a , but this kind of can't it, so it doesn't need to be by . It is to the loss of the phone card as soon as . I also hope that the will make after my case.

As the goes, "Rely on to run, rely on trees to fall", it is to rely on . to the trend of , you will face more in the ; and some key used in , For , the cross-use of phone and ID card in will the risk of data . some have to pay after the fraud, it is hard to say you can meet the for after the case to you. It is also very to spend a lot of time and on this .

In , in the last , I used the steps of my own phone as an of the of the SIM card. Later, I found that many may lock the SIM card due to by in phone and . This will cause to . , I didn't think .大家还是在网上搜索自己的手机对应品牌的SIM卡密码设置然后按照详细教程一步一步操作，如遇到SIM卡密码验证失败后出现PUK码输入要求，可联系运营商获取PUK码。请一定小心谨慎，必要时可到运营商营业厅设置。

自己长期从事金融行业信息系统的安全漏洞检测，也曾多次被自己发现的可直接影响账户资金安全的漏洞而震惊，但经历了这次盗刷事件之后我才发现，相比黑客利用各种高深的技术漏洞攻击金融信息系统，更可怕的是这种把每一项看似没问题的问题组合而成的犯罪，让人防不胜防。也希望今后在工作之余，能有时间把自己在金融信息安全行业的专业知识，用大家都能看得懂的方式写出来，提高大家的安全防范意识。

结尾

媒体合作：

商务合作：