新闻中心

竟然有这种伪基站?#20102;?#38134;行卡 一招教你保护存款安全

新闻来源:  发布日期:2018-08-27  作者:管理员
(原标题:短信“半夜?#20102;ⅰ?#35813;如何防范)

短信半夜?#20102;?#35813;如何防范 媒体:可以睡觉前关机


嫌疑人将伪基站等设备藏在外卖箱中供图/腾讯守护者计划


短信半夜?#20102;?#35813;如何防范 媒体:可以睡觉前关机

“一觉醒来,手机里多了上百条验证码,而账户被刷光还?#25104;?#20102;贷款”——近期犯罪分子利用“GSM劫持+短信嗅探”的方式?#20102;?#32593;友账户的事件成为网络热点。那么,该如何防范这种短信嗅探犯罪呢?安全专家指出,最简单的一招就是睡觉前关机,手机关机后就没有了信号,短信嗅探设备就无法获取到你的手机号。

在主流App中,许多账户登录及?#24335;?#25805;作都可以通过手机号码加短信验证码的方式实现,对于用户来说,这种操作为自己带来方便,无需记忆复杂的密码;但对于别有用心的犯罪分子来说,他?#24378;?#20197;利用简单的设备获取用户的验证码,从而操控用户账户,提现、消费,甚至贷款。一位深圳网友日前就经历了这样的骗局,一觉醒来,手机上发现了上百条验证码,银行卡、支付宝、京东等账户中的?#24335;?#19981;翼而飞,甚至还?#25104;?#20102;网络贷款。

专家表示,这是犯罪分子利用“GSM劫持+短信嗅探”的方式,把银行卡或其他账户里的钱?#20102;?#25110;者转移了。为此,消费者需要注意防范,尤其是在2G网络情况下,警惕遇到犯罪分子实施的强制“降频”等方式攻击,要及?#22791;?#25442;网络环境,重新连接真实基站,检查移动App异常恶意操作情况。


事件

一觉醒来收百条验证码存款全无

本月初,家住深圳的网友“独钓寒江雪”发文称,自己当天起床发现手机接受了100多条验证码,包括支付宝、京东、银行卡等,查询发现,“支付宝、余额宝、余额和关联银行卡的钱都被转走了。京东开了金条、白条功能,借走一万多。”

她的手机截图显示,她从凌晨1点多起,陆续收到来自中国银?#23567;?#20140;东、京东支付、?#36153;?#25903;付、房天下等多个号码发来的“验证码”短信,仅在3点11分就收到了4条短信,一共100余条。


如京东金融自2点34分起,陆续发送了“(借款成功)您成功申请金条借款10000.00元,将于30?#31181;?#20869;到尾号0152的银行卡”“恭喜您开通白条,额度为5000元”等多条短信,京东支付的短信显示:“验证码:362661,您现在正在进行支付,短信验证码请注意保密……?#34987;费?#25903;付显示:“验证码219860,你正在使用快捷支付,校验码很重要,不要告诉任何人哦!”10086123的短信显示:“您的短信验证码为351525,请本人及时输入,?#24418;?#21521;他人透露。”


另外,她还查询到自己的多个账户中的钱已被交易,对方用自己的支付宝绑定的工商银行卡购买了1000元的Q币,还预定了南京一家高档?#39057;?#30340;套房,用京东卡充值了2000元的中国石化加油卡等。


分析

犯罪分子利用短信嗅探专挑熟睡时段作案

那么为?#20301;?#20986;现“睡一觉把存款睡没”的情况?腾讯安全的技术人?#21271;?#31034;,“这些人都是被犯罪分子用‘GSM劫持+短信嗅探’的方式,把银行卡或其他账户里的钱?#20102;?#25110;者转移了。”


据技术人员介绍,短信嗅探通常由号码收集设备(伪基站)和短信嗅探设备组成。其犯罪具体分为以下四步:第一步,犯罪团伙基于2G移动网络下的GSM通信协议,在开源项目OsmocomBB的基础上进行修改优化,搭配专用手机,组装成便于携带?#36164;?#29992;的短信嗅探设备。


第二步,通过号码收集设备(伪基站)获取?#27426;?#33539;围下的潜在的手机号码,然后在一些支付网站或移动应用的登录界面,通过“短信验证码登录”途径登录,再利用短信嗅探设备来嗅探短信。


第三步,通过第三方支付查询目标手机号码,匹配相应的用户名和实名信息,?#28304;?#20449;息到相关政务及医疗网站社工获取目标的身份证号码,到相关网上银行社工,或通过黑产社工库等违法手?#20301;?#21462;目标的银行卡号。由此掌握目标的四大件:手机号码、身份证号码、银行卡号、短信验证码。所谓社工,是黑客界常用的叫法,就是通过社会工程学的手段,利用?#37096;?#25110;者某些漏洞来?#33539;?#19968;个人信息的方法。


第四步,通过获取的四大件,实施各类与支付或借贷等?#24335;?#27969;转相关的注册/绑定/解绑、消费、小额贷款、信用抵扣等恶意操作,实现对目标的?#20102;?#25110;信用卡诈骗犯罪。因为,一般短信嗅探技术只是同?#34987;?#21462;短信,并不能拦截短信,所以不法分子通常会选择在深夜作案,因为这?#20445;?#21463;害者熟睡,不会注意到异常短信。


追访

短信嗅探设备被藏在外卖箱内作案

据腾讯安全的技术人员介绍,嫌疑人的设备包括两种,一种是收集设备,一种是嗅探设备。收集设备由一个伪基站、三个运营商拨号设备以及一个手机组成。这台设备启动后,附近2G网络下的手机就会被轮流“吸附”到这台设备上。此?#20445;?#19982;设?#36214;?#36830;的那台手机(中间人手机)就可以临时顶替被“吸附”的手机。也就是说,在运营商基站看来,此时攻击手机就是受害者的手机。嫌疑人的短信嗅探设备则由一部电脑、一部最老款的诺基亚手机和一台嗅探信道机组成。利用该劫持设备,犯罪分子可以看到这个基站区域内所有用户收到的短信,并且用户毫无知觉。上述的设备体积都不大,也为其实施作案提供了方便。


据报道,该案件发生后,深圳龙岗警方对该案高度重视,抽调精兵强将此类新型案件进行串并?#20449;校?#22312;一周内抓获了数名犯罪嫌疑人,并缴获了作案设备。网?#35759;?#38035;寒江雪也表示,最后,支付宝和京东的赔付到账,贷款还清。


?#26723;?#27880;意的是,一名嫌疑人所用的车载嗅探攻击设备等被装在一个外卖保温箱中,也就是说,从外观来看,这是一台外卖箱,?#23548;?#19978;,这是一个装有伪基站等设备的操作站。


关注

短信嗅探?#20102;?#21040;底该如何防范

由上可见,嫌疑人要实现?#20102;?#38656;要很多条件:第一,受害者手机要开机并且处于2G制式下;第二,手机号必须是中国移动和中国联通,因为这两家的2G是GSM制式,传送短信是明文方式,可?#21592;?#21957;探;第三,手机要保持静止状态,这也是嫌疑?#25628;?#25321;后半夜作案的原因。第四,受害者的各类信息刚好能被社工手段?#33539;ǎ?#31532;五,各大网站、APP的漏洞依然存在。


那么,作为普通网民来说,如何防范这种短信嗅探犯罪呢?腾讯安全的技术人?#21271;?#31034;,最简单的一招就是睡觉前关机,手机关机后就没有了信号,短信嗅探设备就无法获取到你的手机号。如果发现手机收到来历不明的验证码,表明此刻嫌疑人可能正在社工你的信息,可以立即关机或者启动飞?#24515;?#24335;,并移动位置(大城市可能几百米左右即可),逃出设备覆盖的范围。另外还要注意自己手机信号模式改变。在稳定的4G网络环境下,手机信号突然降频“GSM”、“G?#34987;?#32773;无信号?#20445;?#35686;惕遇到黑产实施的强制“降频”及GSM Hack攻击,要及?#22791;?#25442;网络环境,重新连接真实基站,检查移动App异常恶意操作情况。


在手机设置上,用户可以使用“VoLTE?#21271;?#25252;信息安全:在手机设置中开启“VoLTE”选项,目前主流安卓或iphone手机均已支持。(VoLTE:Voice over LTE,是一种数据传输技术,无需2G或3G,可实现数据与语音业务在4G网络同时传输)


同?#20445;?#29992;户最好关闭一些网站、APP的免密支付功能,主动降低每日最高消?#35759;?#24230;;如果看到有银行或者其他金融机构发来的验证码,除了立即关机或启动飞?#24515;?#24335;外,还要迅速采取输错密码、挂失的手段冻结银行卡或支付账号,避免损失扩大。


提示

平时需做好敏感私人信息保护

此外,据犯罪嫌疑人交待,他们利用设备可以登?#23478;?#20123;防范能力较低的网站(一般只需要手机号+验证码)绰绰有余。但是他们的目的并不仅限于成功登录,而是要?#20102;?#20320;名下的钱。所以还需要通过其他手?#20301;?#21462;姓名、身份证号、银行卡号等信息,他需要社工手段来?#33539;?#36825;些信息。因此,用户平时要做好手机号、身份证号、银行卡号、支付?#25945;?#36134;号等敏感的私人信息保护。


那么,骗子如?#20301;?#21462;用户的这些信息呢?例如如?#20301;?#30693;附近用户的手机号?据腾讯安全技术专家介绍,手段千奇百怪,?#28909;?#39575;子劫持到中国移动139邮箱发送来的短信“中国移动139邮箱 狂欢来一波!100%有?#20445;?#28857;击查?#20174;?#20214;详情xx”后,复制其中的链接到浏览器,点击“进入掌上营业厅?#20445;?#23601;可以直接看到手机号了。知道了手机号以后,再通过登?#35745;?#20182;一些网站,利用社工手段就可以很轻松地知道这个人的银行卡账号、身份证号。


在获取了用户信息后,骗子就可以利用这些信息实施犯罪。其一,登录各种网站修改密码,如许多电商、旅游网站允许使用“手机号+验证码”的登录方式,而骗子又可以实时监控到验证码,所以很容易就可以登录。据测试,许多主流网站都可以顺利登录,可以查看商品订单、行程信息、支付信息等,而?#19968;?#21487;以直接更改登录密码。其二,可以?#20102;⒆式穡?#35768;多App的安全策略较低,不少APP只要输入“姓名+银行卡账号+身份证号码+手机号码+动态验证码?#20445;?#23601;默认是本人操作,骗子进入以后马上就会?#20102;?#25110;者购买点卡类虚拟物品。其三,利用网站身份申请贷款等,有些嫌疑人刷完了银行卡中的钱,还会通过这些信息在一些小的贷款网站、?#25945;?#30003;请小额贷款,让受害人不但积蓄全无,还会背负债务。通过非法获取和贩卖用户的隐私信息,黑产还可实施精准的电信网络诈骗、敲诈勒索、恶意推广营销等不法活动。


在此过程中,一些App会在必要时候启动风险措施,如支付宝在嫌疑人试图提现时启动了风控措施,从而中断了嫌疑人进一步实施犯罪的动作。据介绍,当天嫌疑人利用伪基站和嗅探设备于1时42分通过“姓名+短信验证码”的方式登录了支付宝账号;1时45分和1时48分通过社工到的信息对登录密码和支付密码进行了修改,并且绑定了银行卡;1时50分到2时12分别通过输入支付密码的方式进行网上?#20309;?32元,并提现7578元。3时21分,嫌疑人想通过提现到银行卡上的钱进行?#20309;錚?#25903;付宝风控措施启动,要求人脸校验,没有通过校验后嫌疑人便放弃。此?#20445;?#22312;支付宝上的消费也就是932元。


安全专家表示,支付宝的安全等级算是高的,但从嫌疑人的交待中,还发现了许多网站的风控措施不严格,很容易被利用。?#28909;?#27599;天最高限额定得过高(某银行每天限额达到5000元),?#28909;?#26356;换设备登录、频繁登录没有人脸或密码校验等手段,再?#28909;?#21487;以在网站上进行小额贷款等操作。


建议

App及网站需提高短信验证码安全系数

而针对网络?#25945;ǎ?#20840;国信息安全标准化技术委员会也下发了一份《网络安全?#23548;?#25351;南——应对截获短信验证码实施网络身份假冒攻击的技术指引》,建议个各App、网站服务提供商对业务?#20302;?#20013;短信验证码的使用方式进行摸?#20303;?#20363;如在用户注册、密码?#19968;亍⒆式?#25903;付等?#26041;?#30340;短信验证码使用情况,并?#25318;?#30456;关安全风险,优化用户身份验证措施。全国信息安全标准化技术委员会建议的方式包括:短信上行验证、语音通话传输验证码、常用设备绑定、生物特征识别、动态选择验证方式等。


如短信上行验证具体是:提供由用户主动发送短信用以验证身份的功能,如要求用户在规定时间内(如60秒),使用已绑定的手机号码向移动应用、网站服务提供商指定的短信服务号码发送指定内容短信,移动应用、网站服务根据短信内容对用户身份进行验证。常用设备绑定为:提供将用户账号与常用设备绑定的功能,原则上支付、转账等敏感操作只能通过该绑定设备执?#23567;?#35774;备绑定、更换等操作应采用短信上行验证、语音通话传输验证码等方式,并采用诸如要求用户回答预设问题、提供注册时填写的相关用户信息或核对该用户账号近期操作记录等方法进一步确?#23244;?#25143;身份。


本文来源:北青网-北京青年报

上一篇:基站君也怕热!海悟机柜空调4步走教你解除高温困扰

下一篇:柳州移动IDC机房项目通过验收正式投产

分享至:

海悟集团招聘二维码

扫描二维码关注海悟

官方微信公众号

扫描二维码关注海悟

官方微博

扫描二维码关注海悟

版权所有 ? haiwu.com
曼联队歌歌名
2019年四不像图资料 天津福利彩票时时彩走势图 广东36选七开奖号码 pt电子游戏 球探比分即时nba足球比分 网上炸金花真人赌钱 快乐飞艇哪里的 宁夏11选5走势图新 澳门21點规则 重庆福彩幸运农场网上 湖北十一选五开奖结果查询 王者荣耀芈月被后入 2019年香港开奖结果 北京赛車app下载 老时时助手 极速时时记录