|
深夜手機(jī)的支付寶、余額寶、京東白條內(nèi)的錢款竟然會(huì)自動(dòng)發(fā)生轉(zhuǎn)賬，睡了一覺，電子賬戶內(nèi)的錢竟然就這么消失了……到底是什么操作？ 有公安和安全公司實(shí)驗(yàn)室通過復(fù)盤測(cè)試發(fā)現(xiàn)，騙子應(yīng)該是通過一種“GSM劫持+短信嗅探技術(shù)”，可實(shí)時(shí)獲取用戶手機(jī)短信內(nèi)容！ 如上圖，上述受害者的情況就是——早上醒來，發(fā)現(xiàn)手機(jī)內(nèi)收到無數(shù)條驗(yàn)證碼和銀行扣款短信。而這種形式與“GSM劫持”的模式十分相似——通過實(shí)時(shí)獲取用戶手機(jī)短信內(nèi)容，再利用各大知名銀行、網(wǎng)站、移動(dòng)支付App存在的技術(shù)漏洞和缺陷，實(shí)現(xiàn)信息竊取、資金盜刷和網(wǎng)絡(luò)詐騙等犯罪。 短信劫持升級(jí)為2.0版相比較過去通過偽基站來發(fā)詐騙短信，推送垃圾廣告外，GSM劫持技術(shù)已經(jīng)晉升到2.0階段，破壞威力更大。這項(xiàng)被GSM劫持的技術(shù)在國際黑客界被公布后，已經(jīng)可以做到監(jiān)視用戶短信。 劫持的手段就是——通過簡單的單機(jī)設(shè)備，加上黑客軟件，組裝一個(gè)GSM劫持設(shè)備，通過這個(gè)設(shè)備，黑客可以看到這個(gè)基站區(qū)域內(nèi)所有用戶收到的短信，從而獲取短信內(nèi)驗(yàn)證碼等敏感信息，而他在做這一切的時(shí)候，用戶本身是毫無知覺的。 就像是一條經(jīng)過專業(yè)訓(xùn)練的獵犬，在黑暗中悄無聲息地辨別事物，由此有種技術(shù)被專業(yè)人士叫做“短信嗅探”技術(shù)。而他們的目的只有一個(gè)——就是通過盜刷、貸款“圈”走你賬戶內(nèi)的錢。 他們是怎么做到的呢？在一些短信內(nèi)容中會(huì)包括：姓名、手機(jī)號(hào)碼、身份證號(hào)、銀行卡賬號(hào)、驗(yàn)證碼這些重要要素中的幾個(gè)或者全部，而很多網(wǎng)站（包括網(wǎng)銀APP）往往只需要“賬號(hào)+手機(jī)+驗(yàn)證碼”，不需密碼也能登錄。這就讓騙子在后續(xù)操作中很容易得手——有了“手機(jī)號(hào)+密碼”，只要點(diǎn)擊“忘記密碼”，就可以通過驗(yàn)證碼來找回密碼，同樣可以方便登錄。 同時(shí)，在一些安全實(shí)驗(yàn)室的實(shí)際測(cè)驗(yàn)中，一些網(wǎng)站、輕應(yīng)用的隱私保護(hù)意識(shí)很差，有的輸入手機(jī)號(hào)、驗(yàn)證碼，所有的信息全部自動(dòng)彈出，給騙子節(jié)省了大量時(shí)間。 比如，在劫持到中國移動(dòng)139郵箱發(fā)送的短信，復(fù)制其中的鏈接到瀏覽器，點(diǎn)擊“進(jìn)入掌上營業(yè)廳”，是可以直接看到手機(jī)號(hào)的。有了手機(jī)號(hào)后，再登錄其他一些網(wǎng)站，就可以很輕松地知道這個(gè)人的銀行卡賬號(hào)、身份證號(hào)。 實(shí)驗(yàn)室測(cè)試了幾個(gè)主流網(wǎng)站，都能順利登錄。 在電商類網(wǎng)站，可以查看到商品訂單、行程信息、支付信息等，還可以直接更改登錄密碼。一旦攻破賬號(hào)密碼，形成危害就是盜刷或者購買點(diǎn)卡類虛擬物品。 在銀行卡App，那么嫌疑人刷完了銀行卡中的錢，還會(huì)通過這些信息在一些小的貸款網(wǎng)站、平臺(tái)申請(qǐng)小額貸款，讓受害人不但積蓄全無，還會(huì)背負(fù)債務(wù)。 GSM網(wǎng)絡(luò)的弊端是根源上述這些安全隱患所利用的是黑客公布的“GSM劫持”技術(shù)。因此，只要你的手機(jī)用了GSM網(wǎng)絡(luò)，都會(huì)存在這種風(fēng)險(xiǎn)。GSM標(biāo)準(zhǔn)的設(shè)備幾乎占了全球市場(chǎng)的80%以上。而在我們國家，由于移動(dòng)和聯(lián)通的2G是GSM網(wǎng)絡(luò)制式，所以中國移動(dòng)和中國聯(lián)通的用戶是這種劫持技術(shù)的風(fēng)險(xiǎn)客戶。在警方偵辦的案例中，尚未發(fā)現(xiàn)中國電信用戶遭受該類技術(shù)攻擊的情況。 GSM有一個(gè)安全缺陷——GSM是單向鑒權(quán)的，基站可以鑒別移動(dòng)終端（例如手機(jī)）的合法性，但是終端無權(quán)鑒別基站的合法性。也就是說，只要“偽基站”能夠發(fā)送和真基站類似的廣播，就可以欺騙手機(jī)們進(jìn)入其網(wǎng)絡(luò)內(nèi)，從而實(shí)施發(fā)送詐騙短信等違法活動(dòng)。同時(shí)，國內(nèi)使用的GSM通信協(xié)議，存在鑒權(quán)弱、短信明文傳輸?shù)谋锥?，很容易?huì)被劫持嗅探到。 那么其他網(wǎng)絡(luò)的安全系數(shù)更高。根據(jù)通信領(lǐng)域的專家看來，CDMA的短信除了超短的以外，基本都走專用信道，破譯難度大得多。 如何防范風(fēng)險(xiǎn)
保護(hù)自己的財(cái)產(chǎn)，人人有責(zé)！ |
|
|
