|
深夜手機的支付寶、余額寶、京東白條內(nèi)的錢款竟然會自動發(fā)生轉(zhuǎn)賬，睡了一覺，電子賬戶內(nèi)的錢竟然就這么消失了……到底是什么操作？ 有公安和安全公司實驗室通過復(fù)盤測試發(fā)現(xiàn)，騙子應(yīng)該是通過一種“GSM劫持+短信嗅探技術(shù)”，可實時獲取用戶手機短信內(nèi)容！ 如上圖，上述受害者的情況就是——早上醒來，發(fā)現(xiàn)手機內(nèi)收到無數(shù)條驗證碼和銀行扣款短信。而這種形式與“GSM劫持”的模式十分相似——通過實時獲取用戶手機短信內(nèi)容，再利用各大知名銀行、網(wǎng)站、移動支付App存在的技術(shù)漏洞和缺陷，實現(xiàn)信息竊取、資金盜刷和網(wǎng)絡(luò)詐騙等犯罪。 短信劫持升級為2.0版相比較過去通過偽基站來發(fā)詐騙短信，推送垃圾廣告外，GSM劫持技術(shù)已經(jīng)晉升到2.0階段，破壞威力更大。這項被GSM劫持的技術(shù)在國際黑客界被公布后，已經(jīng)可以做到監(jiān)視用戶短信。 劫持的手段就是——通過簡單的單機設(shè)備，加上黑客軟件，組裝一個GSM劫持設(shè)備，通過這個設(shè)備，黑客可以看到這個基站區(qū)域內(nèi)所有用戶收到的短信，從而獲取短信內(nèi)驗證碼等敏感信息，而他在做這一切的時候，用戶本身是毫無知覺的。 就像是一條經(jīng)過專業(yè)訓練的獵犬，在黑暗中悄無聲息地辨別事物，由此有種技術(shù)被專業(yè)人士叫做“短信嗅探”技術(shù)。而他們的目的只有一個——就是通過盜刷、貸款“圈”走你賬戶內(nèi)的錢。 他們是怎么做到的呢？在一些短信內(nèi)容中會包括：姓名、手機號碼、身份證號、銀行卡賬號、驗證碼這些重要要素中的幾個或者全部，而很多網(wǎng)站（包括網(wǎng)銀APP）往往只需要“賬號+手機+驗證碼”，不需密碼也能登錄。這就讓騙子在后續(xù)操作中很容易得手——有了“手機號+密碼”，只要點擊“忘記密碼”，就可以通過驗證碼來找回密碼，同樣可以方便登錄。 同時，在一些安全實驗室的實際測驗中，一些網(wǎng)站、輕應(yīng)用的隱私保護意識很差，有的輸入手機號、驗證碼，所有的信息全部自動彈出，給騙子節(jié)省了大量時間。 比如，在劫持到中國移動139郵箱發(fā)送的短信，復(fù)制其中的鏈接到瀏覽器，點擊“進入掌上營業(yè)廳”，是可以直接看到手機號的。有了手機號后，再登錄其他一些網(wǎng)站，就可以很輕松地知道這個人的銀行卡賬號、身份證號。 實驗室測試了幾個主流網(wǎng)站，都能順利登錄。 在電商類網(wǎng)站，可以查看到商品訂單、行程信息、支付信息等，還可以直接更改登錄密碼。一旦攻破賬號密碼，形成危害就是盜刷或者購買點卡類虛擬物品。 在銀行卡App，那么嫌疑人刷完了銀行卡中的錢，還會通過這些信息在一些小的貸款網(wǎng)站、平臺申請小額貸款，讓受害人不但積蓄全無，還會背負債務(wù)。 GSM網(wǎng)絡(luò)的弊端是根源上述這些安全隱患所利用的是黑客公布的“GSM劫持”技術(shù)。因此，只要你的手機用了GSM網(wǎng)絡(luò)，都會存在這種風險。GSM標準的設(shè)備幾乎占了全球市場的80%以上。而在我們國家，由于移動和聯(lián)通的2G是GSM網(wǎng)絡(luò)制式，所以中國移動和中國聯(lián)通的用戶是這種劫持技術(shù)的風險客戶。在警方偵辦的案例中，尚未發(fā)現(xiàn)中國電信用戶遭受該類技術(shù)攻擊的情況。 GSM有一個安全缺陷——GSM是單向鑒權(quán)的，基站可以鑒別移動終端（例如手機）的合法性，但是終端無權(quán)鑒別基站的合法性。也就是說，只要“偽基站”能夠發(fā)送和真基站類似的廣播，就可以欺騙手機們進入其網(wǎng)絡(luò)內(nèi)，從而實施發(fā)送詐騙短信等違法活動。同時，國內(nèi)使用的GSM通信協(xié)議，存在鑒權(quán)弱、短信明文傳輸?shù)谋锥?，很容易會被劫持嗅探到?/p> 那么其他網(wǎng)絡(luò)的安全系數(shù)更高。根據(jù)通信領(lǐng)域的專家看來，CDMA的短信除了超短的以外，基本都走專用信道，破譯難度大得多。 如何防范風險
保護自己的財產(chǎn)，人人有責！ |
|
|
