犯罪分子常选择深夜用特殊设备嗅探用户短信 “睡觉前关机”是最简单应对方法

嫌疑人将伪基站等设备藏在外卖箱中供图/腾讯守护者计划

“一觉醒来，手机里多了上百条验证码，而账户被刷光还背上了贷款”——近期犯罪分子利用“GSM劫持+短信嗅探”的方式盗刷网友账户的事件成为网络热点。那么，该如何防范这种短信嗅探犯罪呢？安全专家指出，最简单的一招就是睡觉前关机，手机关机后就没有了信号，短信嗅探设备就无法获取到你的手机号。

在主流App中，许多账户登录及资金操作都可以通过手机号码加短信验证码的方式实现，对于用户来说，这种操作为自己带来方便，无需记忆复杂的密码；但对于别有用心的犯罪分子来说，他们可以利用简单的设备获取用户的验证码，从而操控用户账户，提现、消费，甚至贷款。一位深圳网友日前就经历了这样的骗局，一觉醒来，手机上发现了上百条验证码，银行卡、支付宝、京东等账户中的资金不翼而飞，甚至还背上了网络贷款。

专家表示，这是犯罪分子利用“GSM劫持+短信嗅探”的方式，把银行卡或其他账户里的钱盗刷或者转移了。为此，消费者需要注意防范，尤其是在2G网络情况下，警惕遇到犯罪分子实施的强制“降频”等方式攻击，要及时更换网络环境，重新连接真实基站，检查移动App异常恶意操作情况。

事件

一觉醒来收百条验证码存款全无

本月初，家住深圳的网友“独钓寒江雪”发文称，自己当天起床发现手机接受了100多条验证码，包括支付宝、京东、银行卡等，查询发现，“支付宝、余额宝、余额和关联银行卡的钱都被转走了。京东开了金条、白条功能，借走一万多?！?/p>

她的手机截图显示，她从凌晨1点多起，陆续收到来自中国银行、京东、京东支付、环迅支付、房天下等多个号码发来的“验证码”短信，仅在3点11分就收到了4条短信，一共100余条。

如京东金融自2点34分起，陆续发送了“(借款成功)您成功申请金条借款10000.00元，将于30分钟内到尾号0152的银行卡”“恭喜您开通白条，额度为5000元”等多条短信，京东支付的短信显示：“验证码：362661，您现在正在进行支付，短信验证码请注意保密……”环迅支付显示：“验证码219860，你正在使用快捷支付，校验码很重要，不要告诉任何人哦！”10086123的短信显示：“您的短信验证码为351525，请本人及时输入，切勿向他人透露?！?/p>

另外，她还查询到自己的多个账户中的钱已被交易，对方用自己的支付宝绑定的工商银行卡购买了1000元的Q币，还预定了南京一家高档酒店的套房，用京东卡充值了2000元的中国石化加油卡等。

分析

犯罪分子利用短信嗅探专挑熟睡时段作案

那么为何会出现“睡一觉把存款睡没”的情况？腾讯安全的技术人员表示，“这些人都是被犯罪分子用‘GSM劫持+短信嗅探’的方式，把银行卡或其他账户里的钱盗刷或者转移了?！?/p>

据技术人员介绍，短信嗅探通常由号码收集设备(伪基站)和短信嗅探设备组成。其犯罪具体分为以下四步：第一步，犯罪团伙基于2G移动网络下的GSM通信协议，在开源项目OsmocomBB的基础上进行修改优化，搭配专用手机，组装成便于携带易使用的短信嗅探设备。

第二步，通过号码收集设备(伪基站)获取一定范围下的潜在的手机号码，然后在一些支付网站或移动应用的登录界面，通过“短信验证码登录”途径登录，再利用短信嗅探设备来嗅探短信。

第三步，通过第三方支付查询目标手机号码，匹配相应的用户名和实名信息，以此信息到相关政务及医疗网站社工获取目标的身份证号码，到相关网上银行社工，或通过黑产社工库等违法手段获取目标的银行卡号。由此掌握目标的四大件：手机号码、身份证号码、银行卡号、短信验证码。所谓社工，是黑客界常用的叫法，就是通过社会工程学的手段，利用撞库或者某些漏洞来确定一个人信息的方法。

第四步，通过获取的四大件，实施各类与支付或借贷等资金流转相关的注册/绑定/解绑、消费、小额贷款、信用抵扣等恶意操作，实现对目标的盗刷或信用卡诈骗犯罪。因为，一般短信嗅探技术只是同时获取短信，并不能拦截短信，所以不法分子通?；嵫≡裨谏钜棺靼?，因为这时，受害者熟睡，不会注意到异常短信。