楚天都市報記者陳紅劉閃實習生黃月
在沒有受害人身份證、銀行卡的情況下，犯罪嫌疑人是如何利用短信嗅探技術實施盜刷的呢？
民警介紹，嫌疑人通過“GSM劫持+短信嗅探技術”，可實時獲取受害人的手機短信內容，進而利用各大知名銀行、網站、移動支付APP存在的技術漏洞和缺陷，實現信息竊取、資金盜刷和網絡犯罪等犯罪。
那么，如何防范這種新型犯罪？楚天都市報記者采訪了相關專家和業內人士。
案件揭秘
短信嗅探盜刷案大多發生在凌晨
國內網絡安全界知名的“黑客煉金術士”鄒曉東（Seeker）介紹，通常情況下，要想在沒有銀行卡、身份證的情況下實施盜刷，需要知道受害人的手機號、姓名、身份證號、銀行卡號和驗證碼。在目前的技術條件下，通過四步即可達到目的：
一，利用GSM技術的單向鑒權體系漏洞，通過偽基站自動搜索附近（一般是周邊幾百米內）的潛在手機號碼；二，通過查詢地下出售的個人隱私數據，或登錄第三方支付平臺、網上銀行等，碰撞查詢到目標手機號碼對應的身份證號碼、銀行卡號等；三，通過短信嗅探設備，嗅探目標手機號碼收到的驗證碼及運營商、銀行所發短信；四，在網上銀行或者移動支付平臺，通過驗證碼登錄、修改賬戶信息，進行賬戶支付、借貸等資金流轉操作，如綁定銀行卡、申請網絡貸款、打白條等，實施盜刷和信用卡犯罪等犯罪行為。
鄒曉東進一步解釋，這種犯罪手法主要針對2G手機的GSM信號，因此犯罪分子常常會干擾附近的基站通信，使手機信號從4G降級到2G，然后通過嗅探設備竊取手機短信等信息。由于嗅探設備只能嗅探但不能攔截短信，因此犯罪分子通常會選擇在深夜作案，這時受害人大多在酣然入睡，不會注意到短信異常。
專家建議
金融機構通訊及驗證系統應升級
盜刷案件的發生，與系統漏洞有著直接的關系。鄒曉東告訴記者，2011年，手機通信的GSM協議就遭到破解，有多種方式可以獲取用戶的短信驗證碼，只是這些技術一直沒有被犯罪分子所掌握。最近的案例表明，部分犯罪分子已經掌握其中一種技術。
鄒曉東認為，連續發生的短信驗證碼攻擊事件，可能是攻擊工具產業化的標志。利用手機短信驗證用戶身份，已無法保證用戶信息和資金安全，金融機構需要盡快改進，選擇安全性更高的身份認證方式。同時，用戶也不必過于擔心，因為使用偽基站和短信嗅探，必須接近受害人，而警方很容易利用監控錄像排查定位犯罪分子。隨著公安機關快速破案，這種犯罪會越來越少。
鄒曉東介紹，2016年6月，央行明確規定：各商業銀行、支付機構、卡清算機構，要加強對支付敏感信息的內控管理和安全防護工作；各商業銀行基于銀行卡與支付機構、商業機構建立關聯業務時，應嚴格采用多因素身份認證方式，直接鑒別客戶身份，并取得客戶授權；身份鑒別應使用數字證書、交易密碼、動態令牌設備等方式至少組合兩種認證；針對批量或高頻登錄等異常行為，應利用IP地址、終端設備標識信息、瀏覽器緩存信息等進行綜合識別，及時采取附加驗證、拒絕請求等手段。
如何防范
增加支付登錄關卡降低被盜風險
記者了解到，要滿足盜刷需要的所有條件，不是一件容易的事。深圳警方抓獲的一名犯罪嫌疑人供述，他一個晚上雖然能嗅探到很多手機短信、捕獲到很多手機號碼，但盜刷成功的并不多。原因是很多金融公司風控很嚴，即使盜刷，單筆金額也不大。
武漢極意網絡科技有限公司網絡工程師許偉告訴記者，黑色產業者的攻擊方式很多，但最終的關鍵還是要獲取受害人的身份證號、銀行卡號、手機號碼等。缺少其中一環，他們都不可能成功。
對于消費者來說，為了防止個人財產被盜，需要保護好敏感的私人信息。同時，微信、支付寶、京東等個人賬號，可以通過定期修改登錄密碼，或增加登錄和支付“關卡”來降低被盜風險。銀行、高校等單位，應該保護好消費者、學生群體的身份證、銀行卡等信息不被泄露，還要不斷完善平臺的風控體系建設，優化風控策略方案。只有安全意識增強了，犯罪分子鉆空子的機會才會越來越小。
許偉表示，目前傳統的驗證方式，有短信驗證、字符驗證等。短信驗證步驟繁雜，容易被盜取；而一些字符驗證碼越來越扭曲，體驗感差，也容易被一些圖像識別技術識別。驗證碼未來的發展趨勢，應該在充分保證安全性的基礎上，做到零打擾、無感化。
大額資金賬戶建議不要開通網銀
湖北銀行業糾紛調解中心主任宋心鵬介紹，利用短信嗅探獲取銀行客戶信息，進而盜取資金，在技術上有一定難度，在侵害對象上具有隨機性。目前，該中心尚未接到類似投訴舉報，但是中心已經關注到這類案件的動向。公眾對此既要高度警惕，又不必過于恐慌。
宋心鵬建議，用戶要加強防范意識，做到以下幾點：
一、保護好個人手機號、身份證號、銀行卡號、支付平臺賬號等私人敏感信息。
二、存有大額資金的個人銀行賬戶，建議不要開通網銀功能。網上支付賬戶應設置支付限額，支付密碼與取款密碼要有區別。
三、對不明來歷的短信、微信、驗證碼鏈接，不點、不收、不回復。對自行發起的轉賬和支付短信，一定要分辨清楚。
四、睡覺前，可將手機關機或設置為飛行模式，防止被短信嗅探設備探測。
五、如賬戶遭遇攻擊，應立即查看自己的銀行卡和支付應用，一旦確認資金被盜刷，要立即凍結相關賬戶并報警。
