搜索

[13023] 2018-08-04_睡梦中钱不翼而飞？“短信验证码”早已不安全

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2018-08-04_睡梦中钱不翼而飞？“短信验证码”早已不安全 睡 梦 中 钱 不 翼 而 飞 ？ “ 短 信 验 证 码 ” 早 已 不 安 全 A d l e r I   F r e e B u f   2 0 1 8 - 0 8 - 0 4 近 日 ， 国 内 各 地 都 陆 续 发 生 了 一 些 利 用 短 信 验 证 码 冒 用 身 份 、 窃 取 银 行 账 户 、 金 融 类 近 日 ， 国 内 各 地 都 陆 续 发 生 了 一 些 利 用 短 信 验 证 码 冒 用 身 份 、 窃 取 银 行 账 户 、 金 融 类   A P P   财 产 的 案 件 ， 受 害 者 财 产 的 案 件 ， 受 害 者 甚 至 莫 名 其 妙 甚 至 莫 名 其 妙 “ 被 网 贷 被 网 贷 ” ， 进 而 遭 遇 较 大 经 济 损 失 。 ， 进 而 遭 遇 较 大 经 济 损 失 。 根 据 @ 江 宁 公 安 在 线   的 分 析 ， 这 种 犯 罪 手 法 是 近 两 年 来 出 现 的 新 型 伪 基 站 犯 罪 手 段 ， 多 地 警 方 已 经 有 所 发 现 。 具 体 说 来 ， 这 是 一 种 新 型 的 “ 伪 基 站 ” 技 术 。 主 要 采 用 “ G S M 劫 持 + 短 信 嗅 探 技 术 ” ， 可 实 时 获 取 用 户 手 机 短 信 内 容 ， 进 而 利 用 各 大 知 名 银 行 、 网 站 、 移 动 支 付 A P P 存 在 的 技 术 漏 洞 和 缺 陷 ， 实 现 信 息 窃 取 、 资 金 盗 刷 和 网 络 诈 骗 等 犯 罪 。 实 施 诈 骗 的 基 本 原 理 如 下 ：
第 一 步 ， 犯 罪 团 伙 基 于 2 G 移 动 网 络 下 的 G S M 通 信 协 议 ， 在 开 源 项 目 O s m o c o m B B 的 基 础 上 进 行 修 改 优 化 ， 搭 配 专 用 手 机 ， 组 装 成 便 于 携 带 易 使 用 的 短 信 嗅 探 设 备 。 第 二 步 ， 通 过 号 码 收 集 设 备 （ 伪 基 站 ） 获 取 一 定 范 围 下 的 潜 在 的 手 机 号 码 ， 然 后 在 一 些 支 付 网 站 或 移 动 应 用 的 登 录 界 面 ， 通 过 “ 短 信 验 证 码 登 录 ” 途 径 登 录 ， 再 利 用 短 信 嗅 探 设 备 来 嗅 探 短 信 。 第 三 步 ， 通 过 第 三 方 支 付 查 询 目 标 手 机 号 码 ， 匹 配 相 应 的 用 户 名 和 实 名 信 息 ， 以 此 信 息 到 相 关 政 务 及 医 疗 网 站 社 工 获 取 目 标 的 身 份 证 号 码 ， 到 相 关 网 上 银 行 社 工 ， 或 通 过 黑 产 社 工 库 等 违 法 手 段 获 取 目 标 的 银 行 卡 号 。 由 此 掌 握 目 标 的 四 大 件 ： 手 机 号 码 、 身 份 证 号 码 、 银 行 卡 号 、 短 信 验 证 码 。 第 四 步 ， 通 过 获 取 的 四 大 件 ， 实 施 各 类 与 支 付 或 借 贷 等 资 金 流 转 相 关 的 注 册 / 绑 定 / 解 绑 、 消 费 、 小 额 贷 款 、 信 用 抵 扣 等 恶 意 操 作 ， 实 现 对 目 标 的 盗 刷 或 信 用 卡 诈 骗 犯 罪 。 因 为 ， 一 般 短 信 嗅 探 技 术 只 是 同 时 获 取 短 信 ， 并 不 能 拦 截 短 信 ， 所 以 不 法 分 子 通 常 会 选 择 在 深 夜 作 案 ， 因 为 这 时 ， 受 害 者 熟 睡 ， 不 会 注 意 到 异 常 短 信 。 但 是 ， 以 上 四 步 只 是 基 本 原 理 ， 攻 击 者 甚 至 还 会 干 扰 附 近 的 手 机 信 号 ， 使 4 G 变 为 2 G 信 号 后 ， 再 窃 取 短 信 信 息 。 目 前 更 危 险 的 新 技 术 则 是 重 新 定 向 手 机 信 号 ， 同 时 使 用 G S M 中 间 人 方 法 劫 持 验 证 短 信 ， 此 类 劫 持 和 嗅 探 并 不 仅 限 于 G S M 手 机 ， 包 括 L T E ， C D M A 类 的 4 G 手 机 也 会 受 到 相 应 威 胁 。 根 据   3 6 0   无 线 电 安 全 研 究 院 的 分 析 ， 此 类 攻 击 主 要 分 为 以 下 几 级 ： 1 .   伪 基 站 垃 圾 短 信 ； 2 .   嗅 探   G S M   短 信 ； 3 .   将 手 机 从   3 G / 4 G   降 级 到   2 G ； 4 .   3 G / 4 G   中 间 人 攻 击 难 度 从 上 到 下 依 次 加 重 。 从 这 个   等 级 排 序 可 以 看 出 ， 一 些 老 式 手 机 或 长 期 处 于   2 G   的 手 机 最 容 易 受 到 攻 击 ， 此 外 ， 有 些 手 机 虽 然 长 期 处 于   4 G   但 没 有 开 通   V o L T E ， 也 无 法 阻 挡 短 信 嗅 探 。 实 施 以 上 攻 击 的 前 提 是 都 需 要 靠 近 受 害 者 ， 在 一 个 基 站 的 通 信 范 围 内 ， 暂 时 不 能 覆 盖 过 多 的 手 机 号 ， 因 此 受 害 人 范 围 还 未 扩 大 。 而 且 如 果 攻 击 者 没 有 获 取 受 害 者 的 个 人 身 份 证 或 银 行 卡 信 息 ， 只 嗅 探 到 短 信 验 证 码 ， 也 不 会 攻 击 成 功 。 值 得 注 意 的 是 ， 此 类 新 型 伪 基 站 诈 骗 使 用 的 方 法 主 要 是 钻 了 手 机 信 号 协 议 的 空 子 G S M 劫 持 + 短 信 嗅 探 的 攻 击 技 术 基 本 上 没 有 办 法 防 范 ， 一 旦 中 招 ， 短 信 信 息 就 会 泄 露 无 余 。 另 外 ， 犯 罪 者 大 多 选 择 凌 晨 作 案 ， 且 无 需 直 接 与 受 害 者 接 触 ， 因 此 大 部 分 受 害 者 对 资 金 被 盗 毫 无 察 觉 ， 一 觉 醒 来 只 有 手 机 里 莫 名 其 妙 多 出 来 的 验 证 码 … …
据 广 州 警 方 通 报 ， 截 至 今 年 6 月 ， 广 州 警 方 已 陆 续 破 获 多 起 此 类 案 件 。 今 年   7   月 ， 郑 州 警 方 也 破 获 了 类 似 案 件 。 针 对 这 一 情 况 ， 普 通 用 户 应 当 如 何 应 对 呢 ？ 根 据 一 些 安 全 研 究 员 和 @ 江 宁 公 安 在 线 的 消 息 ， 可 以 采 取 以 下 措 施 ： 1 .   尽 可 能 更 换   4 G   手 机 并 联 系 运 营 商 开 通   V o L T E   业 务 ， 提 升 手 机 防 御 等 级 ， 增 加 攻 击 难 度 ；
2 .   平 时 保 护 好 个 人 信 息 （ 包 括 身 份 账 号 、 银 行 卡 号 等 敏 感 信 息 ） ； 3 . 关 闭 手 机 移 动 信 号 ， 只 使 用 家 中 或 办 公 室 等 安 全 的   W I F I   联 网 ； 4 .   睡 觉 前 关 机 或 设 置 飞 行 模 式 ， 让 手 机 无 法 接 收 短 信 （ 但 这 可 能 导 致 其 他 诈 骗 风 险 上 升 或 者 亲 友 有 重 大 事 件 无 法 联 系 ） 。 此 外 ， 警 察 蜀 黍 也 补 充 道 ： 目 前 运 营 商 也 针 对 G S M   协 议 的 问 题 进 行 系 统 换 代 升 级 。 而 大 多 数 支 付 了 、 银 行 类 A P P   除 了 短 信 验 证 码 之 外 ， 还 有 图 片 验 证 、 语 音 验 证 ， 人 脸 验 证 ， 指 纹 验 证 等 等 诸 多 二 次 验 证 机 制 ， 如 果 单 单 泄 露 验 证 码 ， 并 不 会 造 成 损 失 。 据 热 心 网 友 表 示 ， 很 多 银 行 还 有 可 以 自 主 设 置 的 安 全 功 能 ， 例 如 中 国 银 行   A P P   可 以 设 定 在 某 个 时 段 不 能 进 行 消 费 交 易 ； 招 行   A P P   中 有 “ 常 用 设 备 管 理 ” 设 置 选 项 等 。 最 后 ， 呼 吁 各 大 运 营 商 和 通 信 管 理 部 门 尽 快 采 取 有 效 技 术 手 段 ， 尽 快 解 决 此 问 题 。 一 些 安 全 机 制 不 完 善 的 银 行 和 金 融 类 a p p 可 以 考 虑 采 用 其 他 双 向 验 证 辅 助 手 段 提 高 安 全 效 率 。 当 然 ， 一 旦 遇 到 此 类 诈 骗 ， 一 定 要 保 留 好 短 信 内 容 ， 立 刻 报 警 。 * 参 考 自 ： 微 博 @ 江 宁 公 安 在 线 ； 腾 讯 “ 守 护 者 计 划 ” 等 ， 作 者 ： A d l e r I ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理