一夜之间钱包被黑 简讯验证码并不安全

对于喜欢看电影的朋友来说，偷盗类影片无疑是个非常熟悉的类别，并且其一直以来也都是电影工业中很重要的一类。俊男靓女们通过精诚合作和种种不可思议的操作，打劫一个牢不可破的金库，无疑也成为大众所喜闻乐见的题材，但是这样的情节如果发生在现实中，对于当事人来说，肯定是笑不出来的。

手机安全问题不容忽视

上周，一则豆瓣上名为《这下一无所有了》的帖子引发了广泛的关注，当事人在一觉醒来之后，发现手机收到了100多条简讯验证码，在资产损失惨重的同时还背上了一笔债务。这飞来横祸在引发了网友的感同身受的同时，也受到了各方的关注，毕竟无妄之灾对任何人来说都难以接受。

资产安全问题从古至今都是大众最关心的问题，从古老的机关盒、牢固的银行保险库大门再到虚拟世界的各种安全卫士、加密协议，也几乎都是为此而生。但对于保障个人的资产安全，各种密保手段也纷纷应运而生，比如为了防止盗号，网游厂商网易推出过密保卡、将军令和专门的APP，而各大银行也纷纷为网银业务推出了U盾服务。

而手机安全问题随着近年来智能手机的普及，也呈现出逐年上升的趋势。不同于各种带有传奇色彩的PC病毒，如千年虫、震网、熊猫烧香等用户对PC安全有一定认知的情况，是会上大众对于手机安全的重视程度并不是高。并且和PC的大环境不同，一般用户在手机上下载APP都是通过正规渠道，而厂商在经历过PC时代的洗礼后，技术实力也显然更为强悍。

但俗话说有光的地方就有阴影，在安全领域的攻防斗法可以说蔓延了千年，而且不同于现实世界，网络的虚拟环境在一定程度上拉动了攻防双方的实力对比，比如说一代传奇凯文·米特尼克就是单枪匹马的最好例证。

简讯验证码已经落后于时代了

在如今的移动互联网时代，有着使用频率高，号码具有唯一性的手机号进行注册的机制，取代了传统自建账号体系，也有效避免了之前要记住许多不同类别账号的烦恼。但起到校验作用的简讯验证码，原理是让用户知晓操作处于“现在进行时”的同时，给盗刷用户账号的犯罪分子也提高门槛，因为拿到了支付密码，却未必能控制用户的手机。

但是这也带来了一个很大的问题，一旦手机被控制之后，账号的统一性自然很容易被一锅端，因此导致一连串的连锁反应。上文的受害者大概率就是因为支付宝、京东等APP都是使用同一账号而被犯罪分子一锅端。在江宁公安在线发布的消息中显示，该网友是被一种名为“GSM劫持+简讯嗅探技术”的犯罪方式所攻击，通过伪基站劫持，犯罪分子获得了手机号码、身份证号码、银行卡号、简讯验证码这四种盗窃财产的必要信息。

事实上，在去年年中就已经有无线安全问题研究者发现了这个问题，但是相比于要考虑更多隐私问题的厂商，黑产的嗅觉则更加灵敏。再加上在如今的大数据时代中，大大小小的互联网服务提供商都收集了海量用户信息，撞库+GMS中间攻击+RRC重定向的方式，基本上对于防护薄弱的简讯验证码也是无解的。

保障财产安全还是要提高警惕

为什么说简讯验证码的防护薄弱？原因就是其有着一贯明显的弱点——明文发送+单向鉴权，因此在通信途中很容易被拦截。而我们常用的3G或者4G网络则是LTE网络，因此在安全性上比基于GSM的2G网络要强很多。

需要注意的是，银行APP、支付宝、微信这类大型支付软件都是提供双因子认证(2FA)的，这是一种结合密码以及实物(密保卡、令牌或指纹等生物标志)两种条件对用户的身份进行认证的方法，但是相比于廉价够用的简讯验证码，双因子验证则需要额外的技术支持，因此无形中也要多一笔支出成本，所以其推广效果并称不上好。

如果黑产从业者将你的个人信息拿到一些中小的野鸡网贷APP上，利用其审核不严和安全防护约等于0的漏洞，让你平白增加了一堆借款。对于这种新型犯罪手法，事实上也有许多解决思路，比如说睡前关机、开通VoLTE功能、关闭简讯云同步等等，但是这些办法各有各的缺陷，例如睡前关机可能会漏接电话，关闭简讯云同步功能则有可能会遗失之前的简讯内容，显然也并非对所有的人都实用。

而被广泛讨论的VoLTE功能，让简讯也通过3G/4G网络传输的效果最显著，但是依然不是万全之策。

因为黑产从业人员也有办法让LTE网络回落到GSM网络，攻击者可以通过架设LTE伪基站来“捕获”手机，在这一过程中通过RRC重定向信令，用相关代码让目标手机在离开连接态后驻留到预先架设的恶意网络中，然后攻击者就能用自己的手机套上马甲，以目标手机的身份在运营商网络中注册，从而完成一出瞒天过海的戏码。

总的来说，面对黑产从业者的攻击，目前的运营商网络其实很难做到绝对的安全。因此相比于保护简讯验证码的安全，防止个人身份证、银行卡等敏感信息的泄露也就变得对个人用户来说更为重要。而对于支付服务的提供商来说，在自家的系统内升级双因子认证也自然是非常的必要。

当然，如果还是不放心的话，类似“账户安全险”之类的保险，也不妨可以了解一下。