為了倡導正能量、弘揚主旋律，共同構建安全的網絡環境、清朗的網絡空間,新餘網警現面向社會招募「網絡安全志願者」。新餘網絡安全需要你的支持、期待你的參與。（戳二維碼參與吧！）
明明什麼都沒做
手機沒丟、卡沒丟
二維碼沒掃、連結沒點
一覺醒來，錢卻沒了？
手機還莫名出現N多驗證碼
近日，遍布國內各地已陸續發生
利用簡訊驗證碼盜竊錢財案件
有的受害者甚至莫名「被網貸」
進而遭遇較大經濟損失
▼
一夜「一無所有」
8月1日，網友@獨釣寒江雪 在豆瓣發帖，稱自己凌晨醒來，發現手機一直在接收驗證碼，總共100多條，分別來自支付寶、京東、銀行等。隨後發現支付寶、關聯銀行卡的錢都被抓走了；京東開了金條、白條功能，借走一萬多……
所有圖片均為網絡截圖
該網友在長文中不僅訴說了不幸遭遇，還控訴了支付寶、京東等平臺方面的不作為。而支付寶表示之所以當初判定為無法理賠是因為這個案件非常像本人操作。
直到8月3日晚間，支付寶對此進行了回應，稱將會先把損失的資金補償給用戶，然後配合警方調查事實。
隨後京東也表明態度，將會對被確認盜刷的用戶帳戶進行先行墊付，免除用戶的還款責任。
然而，像這樣的案情並不是個例。
據廣州警方通報，近期，多地警方陸續接報一類蹊蹺案件，很多人早上起床後發現手機收到很多驗證碼和銀行扣款簡訊，甚至網上銀行APP登錄帳號和密碼也已被篡改，損失慘重。
民警介紹，騙子通過這種新型技術，可實時獲取用戶手機簡訊內容，進而利用各大知名銀行、網站、行動支付APP存在的技術漏洞和缺陷，實現信息竊取、資金盜刷和網絡詐騙等犯罪。
新型「偽基站」技術
驚了！這種新興技術到底是個什麼鬼？公安界大V @江寧公安在線 為此專門發帖科普過。
就是說，這些人都是被犯罪分子用「GSM劫持+簡訊嗅探」的方式，把銀行卡裡的錢盜刷或轉移了！
犯罪具體分為以下四個步驟
1 犯罪團夥基於2G行動網路下的GSM通信協議，在開源項目OsmocomBB的基礎上進行修改優化，搭配專用手機，組裝成便於攜帶易使用的簡訊嗅探設備。
2 通過號碼收集設備（偽基站）獲取一定範圍下的潛在的手機號碼，然後在一些支付網站或移動應用的登錄界面，通過「簡訊驗證碼登錄」途徑登錄，再利用簡訊嗅探設備來嗅探簡訊。
3 通過第三方支付查詢目標手機號碼，匹配相應的用戶名和實名信息，以此信息到相關政務及醫療網站社工獲取目標的身份證號碼，到相關網上銀行社工，或通過黑產社工庫等違法手段獲取目標的銀行卡號。
由此掌握目標的四大件：手機號碼、身份證號碼、銀行卡號、簡訊驗證碼。
4 通過獲取的四大件，實施各類與支付或借貸等資金流轉相關的註冊/綁定/解綁、消費、小額貸款、信用抵扣等惡意操作，實現對目標的盜刷或信用卡詐騙犯罪。
但是以上四步也只是基本原理，攻擊者甚至會干擾附近的手機信號，使4G變為2G信號後竊取簡訊信息。
此類攻擊分為以下四級
1 偽基站垃圾簡訊
2 嗅探GSM簡訊
3 將手機從3G/4G降級到2G
4 3G/4G中間人攻擊
因為，一般簡訊嗅探技術只是同時獲取簡訊，並不能攔截簡訊，所以不法分子通常會選擇在深夜作案，因為這時，受害者熟睡，不會注意到異常簡訊。
儘管這種手法難以防範，但大家也不用太擔心。
@江寧公安在線 表示，目前絕大多數支付類，銀行類app除了簡訊驗證碼往往還有圖片驗證，語音驗證，人臉驗證，指紋驗證等等諸多二次驗證機制。
此外，如果單單洩露驗證碼，問題是不大的，絕大多數中招的用戶是因為洩露了身份證號等其他重要身份信息，所以總體犯罪成功率並不高。
如何防範盜刷
1、平時要做好手機號、身份證號、銀行卡號、支付平臺帳號等敏感的私人信息保護；
2、最簡單的一招就是睡覺前關機或設置飛行模式。沒有了信號，簡訊嗅探設備就無法獲取到你的手機號；
3、如果早上起來看到奇怪的驗證碼簡訊，一定要想到可能是遇到簡訊嗅探攻擊了，趕緊查看自己的銀行卡和支付應用。這時如果發現錢被盜刷了，火速凍結銀行卡，報警。
4、如果突然發現手機信號變成2G，要立刻意識到自己可能正遭遇此類攻擊，並採取以上方式防禦。
5、據網友補充，有些銀行APP安全功能可以對此進行防備，比如開啟常用設備管理，並設置夜間不可交易。
此外，@江寧公安在線 呼籲，各大運營商和企業也要儘快採取有效技術手段，儘快解決此類問題。這種手法能夠得逞，「根源還是在於信息洩露！」
網警蜀黍提醒：
GSM劫持防不了
其他信息洩露還是可防的！
大家睡前記得手機關機哈
不關機飛行模式也行
來源：江蘇網警
我們是新餘市公安局網絡安全保衛支隊網絡執法警察，如果您發現網上違法犯罪線索，請點擊http://www.cyberpolice.cn進行舉報，也可通過此平臺私信我們。如遇緊急情況請直接撥打「110」電話報警。
希望得到您的支持與配合，願我們共同努力維護良好的虛擬社會秩序。