退订手机报 一条退订短信致男子倾家荡产 手机验证码并不安全

退订手机报 一条退订短信致男子倾家荡产 手机验证码并不安全

当手机上的应用越来越多，绑定的服务越来越多时，谁能想到一条短信引发的连锁反应就能让一个人一夜破产？ 近日，徐先生在北京的经历“中国移动，请告诉我，为什么一条短信就能骗走我所有的财产？” 》在网络上引起轩然大波，中国移动、中国银行、工商银行、招商银行、支付宝、百度钱包、网易邮箱等都参与其中。

当记者梳理徐先生描述的受骗过程，试图重新追踪幕后主谋的攻击时，发现这条链条险恶且环环相扣。 国内地下数据交易市场猖獗，用户信息严重泄露； 银行批量发卡、办卡审核不严格，网上银行系统身份信息在线验证能力薄弱； 第三方支付在方便人们生活的同时，也被攻击者广泛利用……当银行、第三方支付、互联网公司越来越依赖手机发送短信验证“你就是你”时，诈骗者就出现了。精通各方面业务的人出现，利用运营商网上自助换卡，将自己变成用户，开始肆意掠夺。

点评一：远程自助补卡或内部流出

4月8日，徐先生下班途中收到10086发来的短信，提醒他开通某杂志半年的手机报纸服务。 徐先生回复退订无效后，又收到了一条与官方号码类似的短信。 退订需要输入“取消+验证码”短信和10086发送的USIM验证码短信。为了退订业务，徐先生没有多想就回复了6位验证码。 此后，该手机的SIM卡就一直无法使用。

徐先生万万没想到，这是骗子精心设下的陷阱。 他的号码订阅的增值服务是真的，10086第一次发送的退订信息和验证码也是真的，但进入他的网络的都是骗子。 来自大厅后面的请求。 “取消+验证码”短信是假的。 此时，骗子正在远程申请SIM卡业务的“备份卡激活”。 短信验证码是确认换卡的关键步骤。

随后几个小时内，骗子利用徐先生的SIM卡接收短信验证码，先后侵入其网易邮箱、支付宝和网银，并绑定用户的百度钱包，盗取其资金。

在这起连环诈骗中，除了骗子在中国移动网上营业厅自助申购业务、业务退订、网上自助补卡、139邮箱收发短信等方面的熟练程度令人咋舌之外，中国移动网上自助补卡业务流程也成为众矢之的。

“整个骗局中，骗子利用了合法的业务规则，而受害人对相关业务并不熟悉，从而骗取了验证码。 欺骗手段具有可复制性，但如果运营商修改业务规则、加强认证，诈骗者将无法获取验证码。 验证码，攻击就会失败。”360天眼实验室一名工作人员告诉记者。

如何自行异地换卡？ 中国移动北京公司客服人员告诉记者，运营商需要在网站上申请备用卡，注册邮寄地址，然后将卡送到家中，但地址仅限于北京，而且这项服务是其他省市所没有的。 但据记者了解，本次事件中，骗子的IP地址在海南海口，网上办卡除了填写申请名称、手机号码、送货地址外，还需要一条短信验证码。 由于徐先生没有收到申请备用卡的短信验证码。 骗子从哪里获得备用卡？

“骗子可能是通过内部渠道获得的备用卡，也可能是从网购渠道获得的备用卡。” 一位不愿透露姓名的业内人士告诉《IT时报》记者。 这位人士介绍，在手机卡严格实行实名制之前，不需要身份证就可以办卡。

记者在淘宝页面输入“USIM卡”，出现了浙江移动、上海移动等地的4G USIM卡。 这些备用卡可用于短信自助补卡。 该店老板告诉记者：“虽然是短信换卡的备用卡，但也可以在其他地方尝试网上自助换卡，但不保证成功。”

点评二：手机验证码可修改网银密码

“这是一种社会工程诈骗，也是一种欺骗性攻击。骗子通过换卡、换卡的方式，与徐先生进行心理较量。另外，骗子对徐先生进行了调查，并掌握了相关信息。”已经掌握了他的银行卡、身份证号、手机号码、中国移动网上营业厅登录密码等大量信息，只差了最关键的一步，那就是短信验证码。” 国内安全团队Keen Team成员卢立胜告诉《IT时报》记者。

短信验证码有多重要？ 以登录支付宝为例。 一般情况下，如果有人在用户不常用的设备上登录支付宝，用户会收到短信提醒。 即使不知道登录密码，成功换卡的骗子也可以通过短信验证码和身份证号码重置密码。

本次事件中，由于徐先生的SIM卡已在其手中，因此收到异常登录短信提醒的正是诈骗者。 另外，从徐先生的支付宝手机仍与骗子的登录状态同步来看，骗子并没有使用手机短信进行验证。 等身份信息来重置登录密码和支付密码。 这也表明，徐先生的支付宝号码和密码可能已被泄露并被骗子控制。

记者通过找回登录密码尝试登录该银行网上银行。 虽然有些银行要求您必须携带银行卡和身份证到银行柜台找回登录密码，但有些银行的网上银行仍然可以通过添加网上银行账户来完成（在网上银行添加银行卡号） 、身份证号、查询密码和手机验证码重置网银。 有些银行会提示用户密码是6至8位数字、字母和数字的组合，可以尝试连续输入10次。 在这样的验证机制下，诈骗者完全有机会根据用户泄露的信息和技术手段重置网银登录密码。

值得注意的是，对各种业务了如指掌的骗子还利用手机接收短信验证码侵入徐先生的163邮箱，利用163邮箱关联支付宝并下载支付宝的数字证书。 这是用户在新电脑上使用支付宝时安装的证书。 安装过程仍然需要输入随机验证码和短信验证码。 骗子关联的百度钱包有超级转账功能，2小时内转账，且不接受转账。 手续费。

百度钱包添加银行卡只需银行卡信息、姓名、身份证号码、手机号码、验证码即可。 如果您忘记登录密码，也可以通过短信验证码找回。 短短几个小时，精通所有业务流程的骗子就试图从徐先生那里窃取钱财。 最终徐先生什么也没得到。

点评3：余额1000元的支付宝账户密码可以卖80元

“本案的关键点不仅在于用户如何在骗子的诱骗下泄露关键信息，还在于一些地下黑库的信息助长了火势。” 360天眼实验室工作人员告诉记者，日常生活中，用户信息泄露的渠道很多。 例如，预订酒店时提供的姓名、身份证号码、手机号码。 如果酒店管理不严格或者系统存在漏洞，用户就会瞬间泄露三项关键信息。 此外，众所周知，某个省市的社保、新生儿信息也会被黑产业人员通过论坛、贴吧、QQ群等方式买卖，形成一个隐蔽的巨大市场。

菠菜、面单、料主支持、拦截马、大小通道等名称表面上与信息交易无关，但实际上是用于信息交易的QQ群。 为了增加隐蔽性，团体头像有时是一群美女，有时会贴上晦涩难懂的“保赚计划”、“注册奖金”等标签。

在记者加入的一个QQ群里，这些信息被称为“材料”。 与卖几毛钱的身份证、手机信息相比，卖支付宝余额“材料”和各大银行材料的人是一个群体。 国内的“大佬”。 例如，支付宝“资料”包括用户的登录密码、支付密码、手机号码、身份证号码和快捷账号。 支付宝余额不足1000元的，售价80元，1000元至3000元的，售价150元。 上限越高。 ，售价越高，大家都默认先付款再拿“材料”，并且拒绝做数据测试。 当被记者问及为何不自己操作时，有商家回答：“风险太大，如果操作IP过多，就会被查。”

在这个关注“打工十年如梦，无横财不富，马无夜草不肥”的群体中，快递账单信息、手机改号软件等服务，边境背包客收款、取款、信用卡黑钱还款一应俱全。 万事俱备，大家都在等着做副业致富。

“换卡攻击没有技术难度，关键是获取大量用户个人信息。” 卢立胜说道。 卢立胜表示，黑客拖数据库、网站销售、各种电商订单等渠道都可能成为用户信息被泄露和出售的来源。 免费WiFi盗窃、木马钓鱼账号盗窃、通过假基站发送钓鱼短信等都可以作为非法手段。 犯罪分子窃取用户信息的一种手段。

在《2015中国网站安全报告》中，根据补天平台的统计，补天平台的信息泄露漏洞共有4个，可导致超过1亿条个人信息泄露，金额可能泄露的个人信息数量在6000万条之间，1亿至1亿之间的漏洞有11个。

2015年，共有1,410个漏洞可能导致网站个人信息泄露。 这些漏洞共涉及1282个网站，可能或已经泄露的个人信息量高达55.3亿条。

行业对比方面，从每个漏洞平均泄露信息量来看，医疗行业排名第一，平均每个信息漏洞泄露个人信息961万条。 返修率极低。

记者观察：安全不能仅靠手机验证码

“经济发达地区往往是通信网络诈骗的重灾区，但通信诈骗不是一个人的责任，市场上仍然存在身份不明的手机卡，银行业务员为了业绩而批量发卡并申请为非法卡破案增加了难度。

某市公安局反通信网络诈骗中心工作人员告诉记者。 2015年，全市共发生通信网络诈骗案件2万多起，涉案金额近4亿元，同比增长21%。 为打击电信诈骗，该市成立了反通信网络诈骗中心，三大运营商、六大商业银行均参与其中，每个单位派出3人到公安局执勤。

除了通讯诈骗谁该负责之外，建立在手机验证码海滩上的互联网安全大厦的安全性也成为讨论的焦点。 “人们一听到通讯诈骗，总会把矛头指向运营商。徐先生的事情，中国移动确实在管理和业务流程设计上有疏忽，但银行的实名制有天然的优势。” “在这种情况下，使用安全性不如自己的短信验证码作为保护用户资金安全的关键屏障，实际上是在降低安全性。” 独立电信分析师付亮表示。

如今，由于手机卡实名制以及手机大多为个人使用等因素，越来越多的互联网企业采用短信验证码作为安全屏障。 当谈到与资金间接相关的应用时，大家似乎都忽略了，操作手机甚至使用SIM卡接收验证码的人并不一定是用户本人。

“各大银行、网上商城、团购网站、票务公司等公司的网上银行都采用短信验证，真正依靠手机卡实名制，可以大大减少非法注册。但是，我们有也遇到过有人用假身份证成功办卡的情况，当我们的设备识别出假身份证并向后台发出“身份错误”命令时，黑客就会攻击系统，将错误的命令更改为正确的命令。此人成功使用假身份证完成实名登记并办理相关业务。” 一位虚拟运营商高管告诉记者。

不过，对于手机验证码成为与资金关联的应用的安全问题，该负责人颇为无奈地表示：“目前除了短信验证码之外，您认为还有其他验证方式可以广泛使用吗？”

据了解，截至4月13日，支付宝已赔付徐先生在其平台损失的1万余元资金。 百度钱包承诺支付，但仍需提交材料办理流程。 涉案的招商银行、工商银行、中国银行至今仍未有任何进展。