最近N多人中招的GSM劫持+短信嗅探，瞬间盗走你银行和支付宝里所有的钱

最近N多人中招的GSM劫持+短信嗅探，瞬间盗走你银行和支付宝里所有的钱

一夜醒来，枕边的手机收到了几十条银行短信，银行卡和支付宝里的钱全部转走，甚至还给你借了一笔网商贷。 你不仅把多年辛勤工作的积蓄花光了，还欠了银行一大笔债。 这不是小说中的情节。 中国手机盗窃案频发……你可能就是下一个

这篇文章有点长，但如果你不想自己辛辛苦苦几十年的财产一夜之间被盗，请耐心阅读，并按照文末推荐的方法快速防患于未然手机和基金账户！

近日，微博上一位网友的真实经历引起了很多人的关注。 在他8月4日的博文《记录支付宝和银行APP被盗情况》中记录了这样一件令人难以置信的事件。 事物。 2018年8月3日凌晨5时01分至7时39分，在该网友还在熟睡时，不法分子盗取了该网友的支付宝和银行账户进行消费和贷款，共计被盗18696.29元。 期间，该网友手机放在枕头边，银行卡也在家中，银行密码不为他人所知。 到底是怎么回事？

如果你曾经开通过支付宝或者手机网银，你应该还有这样的印象，这些金融APP的激活登录都是采用手机号+个人姓名+身份证号+银行卡的验证方式。 曾几何时，这样的验证方式是靠谱的。 毕竟手机在自己手里不是吗？ 当你从银行收到一个只有60秒内有效的验证码，然后将它填入验证框，这一切看起来天衣无缝，让人觉得足够安全。 为了简单起见，很多App的登录或绑定方式都简化为手机号+验证码的方式。 但这样一来，就给不法分子留下了可乘之机。

什么是GSM劫持+短信嗅探？犯罪分子是如何通过这种方式窃取我们的钱的

我们现在用的手机，不管你用的是华为、小米、苹果，还是支持什么4G、4G+网络，其实都是基于GSM标准的。 手机网络的发展是从1.0（模拟通信）->2.0（GSM）->3.0（3G）->4.0（4G/4G+）。 在手机网络2.0时代，也就是我们所说的GSM标准，手机语音和短信首次以纯数字信号的形式传输。 明文认证传输是什么意思？ 也就是说，如果你的手机今天收到一条短信，而且是在GSM系统下收发的，基站（移动运营商端）只会验证手机是否正品（网络运营商所有） ，但手机不会去识别这个基站是否真实（是否真的是网络运营商的）。 这个漏洞导致了假基站（不法分子搭建的小型基站，在小范围内替代运营商的真实基站进行犯罪）的兴起。 一开始，不法分子并不聪明，他们只是利用假基站向附近的手机发送一些垃圾广告，后来这样的短信被一些短信拦截应用程序自动拦截，就没人再使用了。 他们开始升级为冒充运营商或某互联网大公司的服务，通过短信给你发送网址，窃取用户隐私信息或在用户手机中植入木马。 如今，网络金融在中国发展迅速。 各种网络金融APP、网上银行APP、各种外卖、电商平台的盛行，为这些不法分子提供了盗取资金的绝佳机会。

不法分子使用的短信嗅探软件显示界面

在今天的中国，个人隐私（包括手机号、姓名、身份证、个人头像、银行卡号）基本已经不是隐私了。 在网络黑产业中，你可能只需要报一个手机号，加几十块钱就可以搞定。 到上面的全套信息。 这时候，不法分子就需要利用GSM劫持+短信嗅探技术，来完成诈刷的基本条件。 首先，不法分子会使用网上购买或按照教程组装的小型GSM劫持设备在你周围（半径500-1000米）漫游，收集附近的手机号码（通过拦截最近的短信及其内容），其中包含你的手机号码，你用的是什么网络软件，用的是什么服务），然后不法分子就会通过截获的短信内容判断目标的价值，比如经常转账的，或者某张银行卡, 支付宝账户到账，会优先纳入目标范围。 然后他们就会想办法得到这个手机号的联系方式（包括姓名、地址、身份证号、银行卡号等）。 注册网贷信息泄露、电脑或手机木马信息泄露），最后在目标名单也从网上购买私人信息后，作案就开始了。

犯罪分子使用的 GSM 劫持和 SMS 嗅探设备

不法分子会先挑一个清晨（这样你就睡着了，你的手机可能是静音什么的），然后通过饿了么x/美x之类的平台或者移动运营商服务输入你的手机号码，然后他们会向您发送验证码。 并使用这个验证码登录你的Ele.X账户或者手机网上营业厅，顺便查看一些信息，比如Ele。 家庭地址。 如果用新修改的手机和通讯密码再过2-30分钟才能登录网上营业厅，则说明受害人手机是否熟睡，不法分子将在此时开始大胆操作时间。 他会先通过“短信验证码登录”方式登录支付宝，然后修改支付宝支付密码，然后通过转账或网上消费先盗取支付宝中的余额。 这还不够可恨，因为支付宝现在很厉害。 而且有很多用户很多的移动应用程序。 不少银行为此做了渠道优化，让您更方便的绑定银行卡。 接下来，不法分子会在网上购买你的银行卡信息，并通过支付宝链接到你的银行。 卡，开始使用支付宝进行网上购物或网银转账操作。 如果银行卡里没钱，我会先用支付宝开通网商贷或借钱到银行卡，然后透支消费。 总之，一旦不法分子登录了支付宝，而你又不采取进一步的验证措施（支付宝也有增加验证强度的方法，但一般人不做，这个后面会讲到），损失就是比如微博。 这就是本文的内容。 具体的操作方法不便分析得太具体，以免让坏人效仿。

那么如何防止GSM劫持+短信嗅探呢？

就目前而言，GSM 劫持实际上并不新鲜。 这个东西随着4-5年前伪基站的诞生就已经存在了。 问题是中国幅员辽阔，GSM手机制式（设备）也有十几个在2010年使用，是当今中国乃至世界上最大的手机网络，涉及数千台设备和系统。 另外，GSM（2G）模式下短信的明文传输和单向认证也是协议的漏洞。 只要手机运行在GSM 2G网络上，就可以使用。 说白了，饭已经熟了，也帮不了什么忙。 运营商只能说服用户尽快升级到4G网络（2G全面退网）。 也就是说，依靠移动运营商层面来解决GSM劫持+短信嗅探的问题是不现实的。

这种GSM劫持+短信嗅探在网络金融和网银APP上是可以防止的，但这需要很多手机APP增加新的验证方式和更新APP。 这需要一定的时间，但相信有责任心的大厂（比如支付宝其实早就有这样的功能，只是默认是禁用的）和本应固若金汤的手机网银APP很快就会跟进。 方法是 1）取消简单的手机号+收验证码登录甚至修改支付密码等功能 2）在最后支付环节增加指纹或人脸识别步骤或修改支付密码环节，以及启用此步骤后，需要指纹或人脸识别才能关闭。

但远水解不了近火。 如果您在这些软件更新之前被发现，您应该怎么办？

1、首先你要明白GSM劫持是因为手机使用的是GSM标准下的2G网络。 目前国内只有中国移动和中国联通2G使用GSM制式，中国电信2G使用CDMA制式，无法被短信嗅探到。 探索。 所以，如果你是中国电信的用户，或者有中国电信的手机卡（我知道很多中国电信的家庭光纤宽带用户最近开通了无限流量套餐的手机卡），可以使用支付宝或者网银手机号暂改为中国电信，这样100%可以避免被短信嗅探的问题。

2、网上有人说，晚上睡觉的时候，把手机关掉。 果然，手机关机了。 由于手机未联网，运营商不会向您发送短信验证码。 不法分子的后续行动自然无法实施，100%有效。 但对于工作繁忙，或者有时害怕家里出事的人来说，一夜之间关掉手机造成的损失可能比银行资金被盗还要大。 所以这种方法不可取。 有什么办法可以防止GSM劫持+短信嗅探不换手机号码到中国电信，或者晚上不用关机？答案是有的

中国移动和中国联通用户如何在手机不关机的情况下防止GSM劫持+短信嗅探

1）手机层面的加固。 目前，中国移动已基本在国内开通VoLTE业务。 稍后我们将有一篇关于 VoLTE（语音+短信全通 4G 网络）服务的文章。 这里简单介绍一下。 当您的中国移动手机开启VoLTE服务后，无论是语音通话还是手机短信都会切换到4G网络制式，而4G网络制式下的手机短信需要双向认证. 堵住不法分子利用的漏洞。 但问题是VoLTE服务严重依赖4G网络，即你必须先为你的手机号码开通4G服务，同时在4G网络信号不好或者没有4G网络的地方，手机还是会自动降级到2G网络（这样漏洞又会了，什么时候不降就不好说了）。 此外，不法分子还会利用自制的干扰器抑制该区域的4G信号，诱使您的手机降级连接2G网络，从而落入GSM漏洞的圈套。 此外，中国联通仅在部分省市开通了VoLTE业务（国内大部分城市尚未开通）。 因此，单独在手机上开通VoLTE服务可以起到一定的作用，但不能完全杜绝。

OPPO、vivo、小米、华为自有或以上，或近2-3年生产的手机，同样使用中国移动网络。 当然，我们建议开启VoLTE服务。 激活方法也很简单，发送短信“”到10086即可（不另外收费，不会对当前资费套餐产生任何影响），几秒后即可生效。 之后，用户需要转到设置->蜂窝移动网络->蜂窝移动数据选项->启用 4G（更改为语音和数据），即使它已完全启用。 安卓手机由于平台较多，无法一一列举。 你只需要在语音通话设置项里找到，什么是高清通话或者高清语音通话功能，打开即可。

VoLTE服务开通成功后，苹果手机没有任何提示，而安卓手机一般会在手机顶部的通知栏上显示HD字样，即开启了高清语音功能。 而如果你想查看你的手机是否真的开启了VOLTE功能，你可以尝试用手机拨打任意电话。 如果此时手机信号从4G掉到2G，说明VoLTE模式没有开启成功。 如果通话过程中仍显示4G字样，并且可以正常上网，则说明VoLTE已开启。

至于一些网友在手机上提出的防伪基站功能，其实在短信嗅探环节是不起作用的，也就是说这个功能对这种GSM劫持+短信嗅探攻击没有防护作用。 别再听人说开启防伪基站功能或使用带有防伪基站功能的华为手机后，就可以高枕无忧了。

设置 -> 蜂窝网络 -> 蜂窝数据选项 -> 启用 4G（更改为语音和数据）

2）支付宝开通高级验证。 从上面的犯罪步骤可以看出，他们都是通过手机号+验证码登录支付宝的。 现有的支付宝版本有没有办法在验证手机号的时候增加一个额外的安全验证？ 措施呢？ 答案是肯定的。 您先升级最新版本的支付宝，然后在“我的”页面->右上角“设置”->安全设置->安全中心->密码中找到。 该功能将要求用户拍照或画图作为密码。 一旦用户在未使用过的设备（即新设备）上登录支付宝，除了短信验证码，还会要求你从9张相似图片中寻找。 这个密码，只要你答错一次，支付宝的风控就会被激活。 但美中不足的是，这段代码是将一张自己的图片+随机抽取的8张图片混合在一起，让你选择，也就是说有1/9的几率被不法分子命中随机选择。 这种方式增加了不法分子的难度，但仍有一定几率被攻破，无法做到100%防护。

“我的”页面->右上“设置”->安全设置->安全中心->密码

3) 确保您的资金账户。 开启VoLTE功能并为支付宝添加密码后，如前所述，仍然无法做到100%防范，需要继续加强防护。 现在，回到支付宝的“我的”页面，进入“总资产”项，在最上面你的ID旁边，有一个“账户安全保险保障”，点击它，你会看到一个“支付宝账户安全保险” ”加上“银行卡安全险”。 “支付宝安全险”通俗易懂。 如果支付宝余额中的钱被盗，支付宝将在100万以内赔付。 另一个“银行卡安全保险”如果你之前没有开通过，你可以在我的银行卡底部找到这个激活链接。 保险协议的内容是，如果你名下的银行卡资金全部被盗，你将得到赔偿，几十块钱就够保几万了。

4）睡觉时，手机开着飞行模式但是wifi是开着的。 如果家人同住，或者家里有固定电话，在升级支付宝和各大网银APP的软件安全功能前，建议晚上打开手机飞行模式，打开手机wifi（这样手机信号是关掉的，但是不影响微信，或者一些网银app的通知，现在支付宝和网银一有资金变动就会有推送通知，推送通知可以只要手机联网就可以接收）。

如果您对此次手机诈骗资金事件还有疑问，或者不确定您的手机是否安全，请关注我们的微信公众号，发送关键词“手机诈骗”，我们会有专人解答你