139邮箱登陆登录(139邮箱登陆登录入口官网)

来源:北京青年报

嫌疑人将伪基站等设备藏在外卖箱供图/腾讯守护者计划

“一觉醒来，手机里有几百个验证码，账户被清空了，贷款也拿到了。”-近日，不法分子利用“GSM劫持+短信嗅探”盗取网民账号的事件成为网络热点。那么，如何防范这种短信嗅探犯罪呢？安全专家指出，最简单的窍门就是睡觉前关掉手机。手机关机后没有信号，短信嗅探设备无法获取你的电话号码。

在主流App中，很多账户登录和资金操作都可以通过手机号添加短信验证码来实现。对于用户来说，这个操作给自己带来了方便，不需要记忆复杂的密码；但对于别有用心的不法分子来说，他们可以利用简单的设备获取用户的验证码，从而操纵用户账户，提现，消费，甚至贷款。一位深圳网友前几天就经历了这样的骗局。一觉醒来，她发现手机上几百个验证码，银行卡、支付宝、JD.COM等账户里的资金都没了，甚至还背着网贷。

专家介绍，这是不法分子利用“GSM劫持+短信嗅探”的方式，盗取或转移银行卡或其他账户的资金。因此，消费者需要做好防范，尤其是在2G网络的情况下。他们应该警惕犯罪分子的攻击，如强制“降频”。他们要及时更换网络环境，重新连接真实基站，检查手机app的异常恶意操作。

事件

一觉醒来，收到一百个验证码，没有存款。

本月初，家住深圳的网友“一个老人在冷江钓鱼-雪”发帖称，当天起床发现自己的手机已经接受了100多个验证码，包括支付宝、JD.COM、银行卡等他查询后发现“支付宝、余额宝、余额以及相关银行卡的钱都被转走了。JD.COM开通了金条白条功能，贷了一万多。"

她的手机截图显示，从凌晨1点开始，她收到了来自中国银行、JD.COM、JD.com支付、环迅支付、房天下等号码的“验证码”短信。仅3点11分，她就收到了4条短信，共计100多条。

例如，从2: 34开始，京东金融连续发送多条短信，如“(贷款成功)您已成功申请金条贷款10000.00元，30分钟内到账0152号银行卡”“祝贺您开出5000元限额的借据”。京东金融支付的短信显示:“验证码:362661，您正在进行支付，请对短信验证码保密...1086123的短信显示:“您的短信验证码是351525。请及时输入，不要透露给别人。"

此外，她还发现自己多个账户里的钱都被交易了，对方用她支付宝绑定的工行卡买了1000元起的q币，还用JD.COM卡充值了2000元的中国石化加油卡在南京某高档酒店订了套房等

分析

犯罪分子利用短信嗅探挑选睡眠时间实施犯罪。

那么，为什么会出现“睡通积蓄”的情况呢？腾讯安全技术人员表示，“这些人通过GSM劫持+短信嗅探’的方式，被不法分子盗取或转移银行卡或其他账户的资金。"

据技术人员介绍，短信嗅探通常由号码采集设备(伪基站)和短信嗅探设备组成。犯罪分为以下四个步骤:第一步，犯罪团伙基于2G移动网络下的GSM通信协议，对开源项目OsmocomBB进行了修改和优化，组装成便携易用的短信嗅探设备，配有专用手机。

第二步，通过号码采集设备(伪基站)获取一定范围内的潜在手机号码，然后在一些支付网站或手机应用的登录界面通过“短信验证码登录”登录，再使用短信嗅探设备嗅探短信。

第三步:通过第三方支付查询目标手机号，匹配对应的用户名和实名信息，利用这些信息从相关政府和医疗网站的社工处获取目标身份证号，到相关网银社工处，或者通过黑色产业的社工银行等非法手段获取目标银行卡号。由此可以掌握四个目标:手机号、身份证号、银行卡号、短信验证码。所谓社工，黑客常用的，是通过社会工程的手段，利用数据库碰撞或者一些漏洞来确定一个人的信息的方法。

第四步，实施注册/绑定/解绑定、消费、小额贷款、信用扣款等各种恶意操作。与支付或借贷等资金流动有关，实现盗窃罪或信用卡诈骗罪。因为一般的短信嗅探技术只获取同一时间的短信，而无法拦截短信，所以犯罪分子一般会选择在半夜作案，因为此时受害人正在熟睡，不会注意到异常短信。

催促某人接受采访

短信嗅探设备被藏在外卖箱里作案。

据腾讯安全技术人员介绍，嫌疑人的设备包括两种，一种是采集设备，一种是嗅探设备。采集设备由一个伪基站、三个运营商的拨号设备和一部手机组成。这个设备启动后，附近2G网络下的手机会依次“吸附”到这个设备上。此时，连接在设备上的手机(中间人手机)可以暂时代替“被吸附”的手机。也就是说，在运营商基站看来，攻击的手机此时就是受害者的手机。嫌疑人的短信嗅探设备由一台电脑、最古老的诺基亚手机和一台嗅探通道机组成。有了这个劫持设备，不法分子可以看到这个基站区域内所有用户收到的短信，而用户是没有意识的。上述设备体积不大，也为其作案提供了便利。

通报称，案件发生后，深圳龙岗警方对此案高度重视，抽调精兵强将，对此类新案件进行串并研判。一周之内，他们逮捕了几名嫌疑人，并缴获了作案设备。一位在寒冷的江雪中钓鱼的老人，一位网友，也说最后是支付宝和JD.COM付款，贷款还清了。

值得注意的是，一名嫌疑人使用的车载嗅探攻击设备是打包在外卖保温箱里的。也就是说，从外观上看，这是一个外卖保温箱。其实这是一个配有伪基站等设备的操作站。

密切注意

如何防止短信嗅探窃取？

从上面可以看出，嫌疑人实现盗刷需要很多条件:一是受害人手机要开机，且在2G系统中；第二，手机号必须是中国移动和中国联通，因为这两家的2G是GSM制式，发短信是明文，可以嗅出来；第三，手机要保持静止状态，这也是嫌疑人选择午夜后作案的原因。第四，受害者的各种信息可以由社会工作者来确定；第五，各大网站和app的漏洞依然存在。

那么，作为一名普通网民，如何防范这种短信嗅探犯罪呢？腾讯的安全技术人员说，最简单的窍门就是睡觉前关掉手机。手机关机后没有信号，短信嗅探设备无法获取你的电话号码。如果你发现你的手机收到了来历不明的验证码，说明嫌疑人此刻可能正在对你的信息进行操作。你可以立即关闭或者开启飞行模式，移动你的位置(可能是大城市几百米)逃离设备的覆盖范围。另外，注意你的手机信号模式的变化。在稳定的4G网络环境下，当手机信号突然降频“GSM”或“G”或无信号时，要警惕黑产进行的强制“降频”和GSM Hack攻击。你要及时更换网络环境，重新连接真实基站，检查手机App的异常恶意操作。

在手机设置中，用户可以使用“VoLTE”来保护信息安全:打开手机设置中的“VoLTE”选项，目前主流安卓或iphone手机都支持。(VoLTE:Voice over LTE，一种数据传输技术，可以在没有2G或3G的4G网络中实现数据和语音业务的同时传输)

同时，用户最好关闭部分网站和app的免密支付功能，主动降低每日最高消费金额；如果看到银行或其他金融机构发来的验证码，除了立即关机或启动飞行模式外，还应通过输错密码挂失的方式迅速冻结自己的银行卡或支付账户，避免损失扩大。

给个提示

敏感的私人信息需要在和平时期得到保护。

另外，据犯罪嫌疑人交代，他们登录一些防范能力较低的网站(一般只需要手机号+验证码)就绰绰有余了。但他们的目的不仅限于成功登录，而是盗取你名下的钱。所以需要获取姓名、身份证号、银行卡号等信息。通过其他方式。他需要社会工作者来确定这些信息。所以用户要保护好手机号、身份证号、银行卡号、支付平台账号等敏感隐私信息。

那么，骗子是如何从用户那里获取这些信息的呢？比如怎么知道附近用户的手机号？据腾讯安全技术专家介绍，这里面有各种各样的猫腻，比如骗子发给中国移动139邮箱的短信“中国移动139邮箱有一波狂欢”！100%有奖！点击查看邮箱详情xx”，复制链接到浏览器，点击“进入掌上营业厅”直接看到手机号。知道手机号后，登录其他网站，使用社工，就可以很容易知道这个人的银行卡账号和身份证号。

骗子获得用户信息后，就可以利用这些信息实施犯罪。首先，登录各种网站修改密码。比如很多电商、旅游网站都允许“手机号+验证码”的登录方式，骗子可以实时监控验证码，登录起来很容易。据测试，很多主流网站都能顺利登录，查看商品订单、行程信息、支付信息等。，并直接更改登录密码。第二，可以盗取资金。很多app的安全策略都很低。很多app只需要输入“姓名+银行卡账号+身份证号+手机号+动态验证码”，默认是我自己操作。作弊者进入后会立即偷窃或购买点卡之类的虚拟商品。第三，利用网站身份申请贷款等。，有的犯罪嫌疑人刷了银行卡里的钱，还会通过这些信息在一些小贷网站、平台上申请小额贷款，让受害人不仅没有存款，还要承担债务。黑产通过非法获取、出售用户隐私信息，还可以进行精准电信网络诈骗、敲诈勒索、恶意推广营销等违法活动。

在这个过程中，一些app会在必要的时候启动风险措施。比如，当嫌疑人试图取款时，支付宝启动风控措施，从而中断嫌疑人的进一步犯罪。据介绍，犯罪嫌疑人利用伪基站和嗅探设备，以“姓名+短信验证码”的方式，于当日1时42分登录支付宝账户；1点45分和1点48分，通过社工收到的信息修改了登录密码和支付密码，绑定了银行卡；1点50分至2点12分，通过输入支付密码网购932元，提现7578元。3时21分，犯罪嫌疑人欲通过银行卡取钱进行购买。支付宝风控措施启动，要求人脸验证。验证失败后，嫌疑人放弃了。此时，支付宝上的消费是932元。

安全专家表示，支付宝的安全级别较高，但从嫌疑人的供述中也发现，很多网站的风控措施并不严格，容易被利用。比如最高日限额设置过高(某银行日限额达到5000元)，比如更换设备登录，频繁登录不进行人脸或密码验证等。，然后在网站上做小额贷款。

建议

而App网站需要提高短信验证码的安全系数。

网络平台方面，国家信息安全标准化技术委员会也发布了《网络安全实践指南——针对拦截短信验证码实施网络身份假冒攻击的技术指南》，建议各App和网站服务商在业务系统中摸清短信验证码的用法。比如在用户注册、密码找回、资金支付等环节使用短信验证码，并评估相关安全风险，优化用户认证措施。国家信息安全标准化技术委员会建议的方法有:短信上行验证、语音呼叫传输验证码、通用设备绑定、生物特征识别、验证方法动态选择等。

比如短信上行验证，就是给用户提供主动发送短信验证身份的功能。例如，要求用户在规定时间内(如60秒)向移动应用和网站服务提供商指定的短信服务号码发送指定内容的短信，移动应用和网站服务根据短信内容验证用户身份。常用设备绑定:提供将用户账号与常用设备绑定的功能。原则上，支付、转账等敏感操作只能通过该绑定设备进行。设备绑定、更换等操作应采用短信上行验证、语音呼叫传输验证码等方式。，并采取要求用户回答预设问题、提供注册时填写的相关用户信息或查看用户账号近期操作记录等方式。以进一步确认用户身份。(记者文薇)