建议

App及网站需提高短信验证码安全系数

而针对网络平台，全国信息安全标准化技术委员会也下发了一份《网络安全实践指南——应对截获短信验证码实施网络身份假冒攻击的技术指引》，建议个各App、网站服务提供商对业务系统中短信验证码的使用方式进行摸底。例如在用户注册、密码找回、资金支付等环节的短信验证码使用情况，并评估相关安全风险，优化用户身份验证措施。全国信息安全标准化技术委员会建议的方式包括：短信上行验证、语音通话传输验证码、常用设备绑定、生物特征识别、动态选择验证方式等。

如短信上行验证具体是：提供由用户主动发送短信用以验证身份的功能，如要求用户在规定时间内(如 60 秒)，使用已绑定的手机号码向移动应用、网站服务提供商指定的短信服务号码发送指定内容短信，移动应用、网站服务根据短信内容对用户身份进行验证。常用设备绑定为：提供将用户账号与常用设备绑定的功能，原则上支付、转账等敏感操作只能通过该绑定设备执行。设备绑定、更换等操作应采用短信上行验证、语音通话传输验证码等方式，并采用诸如要求用户回答预设问题、提供注册时填写的相关用户信息或核对该用户账号近期操作记录等方法进一步确认用户身份。

文/本报记者 温婧