張鑫明　張恒　薛田　朱信明　修淼

2016年4月8日，周五的這個傍晚，有一個騙子想“變成”許妙成。

許妙成正在北京地鐵6號線的車廂里，毫無警覺。24歲的許妙成就職于一家投資公司，工作兩年有了3萬多存款。這些錢，分別存在他的3張銀行卡和支付寶賬戶里。無論是支付寶還是銀行卡，都設(shè)有重重安全措施——密碼驗證、身份證號驗證、郵箱驗證等等。即便這些驗證統(tǒng)統(tǒng)失效，還有最后也是最關(guān)鍵的一道安全閥門——手機?，F(xiàn)在幾乎所有的支付、更改賬戶都需要輸入手機動態(tài)密碼來驗證身份。

而手機，現(xiàn)在正在許妙成的手里。

正如其他銀行卡盜刷案一樣，那個登錄IP顯示在?？谑械尿_子，找到一個突破口，逐步瓦解了許妙成的安全措施?，F(xiàn)在，4月8日17點多，騙子正打算攻破最后一關(guān)，拿到許妙成的手機，“變成”這個毫不知情的年輕人。

盜刷銀行卡

騙子是人類最古老的行業(yè)之一。只不過，不同階段有不同的特性。以前的騙子更多是騙人，現(xiàn)在，越來越多的騙子試圖騙過機器，比如騙過銀行的系統(tǒng)。

2016年3月20日晚上9點多，北京媒體人馬月收到兩條短信，是銀行發(fā)來的，提醒他銀行賬戶剛剛有兩筆消費，一筆46萬、一筆1萬，消費地點是江西省上饒市寶澤樓市場。他的第一反應(yīng)就是打電話掛失，電話里，對方要求他報上賬戶，并且輸入密碼。

“這個時候我腦子里還留了一個信號，我想萬一這是個偽裝的號呢。”馬月本身做互聯(lián)網(wǎng)工作，知道很多詐騙方式，向來謹慎，“各種奇怪的詐騙鏈接，我絕對不會點。剛發(fā)生這個事的時候，我還怕電話已經(jīng)中毒（用朋友的電話打給銀行進行掛失）”。

最終證實，短信是真的，電話是真的，那兩筆消費也是真的。確實有人騙過了銀行，只用了兩分鐘，就劃走了本屬于馬月的47萬。

馬月后來才從銀行處得知，2月份，曾有人在河北查詢自己卡內(nèi)余額。這張卡只是一張借記卡，并未開通網(wǎng)銀功能。他說：“肯定是有人復(fù)制了我的卡?！?/p>

不但復(fù)制了他的卡，還需要掌握卡的密碼。騙子想做到這些，有好多種途徑。他們可以在ATM機上設(shè)置陷阱，等馬月刷卡時復(fù)制；也可以在消費場所偽裝服務(wù)員使用改裝過的POS機盜刷；銀行內(nèi)部人員泄露客戶信息的事情也曾發(fā)生過，還有一種是在電腦或手機中植入木馬。

曾有記者在一個盜刷銀行卡的QQ群臥底幾個月，見識到了銀行卡復(fù)制器的威力——只要拿銀行卡在上面刷一下，不出10秒鐘就能讀出包括密碼在內(nèi)的賬戶信息并復(fù)制一張新卡。

販賣機器、盜取信息、販賣信息、刷卡套現(xiàn)已經(jīng)形成了一條隱秘又完整的產(chǎn)業(yè)鏈。其中每個環(huán)節(jié)都有風(fēng)險，各做一環(huán)顯然相對安全。買到復(fù)制卡后，取錢的騙子也有一套嚴密流程，比如購買偏遠山村村民的身份證用以辦銀行卡，再跨省取錢。

據(jù)中國互聯(lián)網(wǎng)協(xié)會發(fā)布的《中國網(wǎng)民權(quán)益保護調(diào)查報告》估算，2015年，因個人信息泄露、垃圾信息、詐騙信息等現(xiàn)象，導(dǎo)致總體經(jīng)濟損失約805億元。

竊取手機

毫無疑問，許妙成的個人信息也被泄露了，但并不是銀行卡信息，而是網(wǎng)絡(luò)賬戶。這種信息在網(wǎng)絡(luò)上流傳更廣，與銀行相比，一些商業(yè)網(wǎng)站的安全防護要薄弱很多。

“我們現(xiàn)在很多詐騙都是由于個人信息被泄露，”手機安全系統(tǒng)專家葛健說，“除了黑客通過技術(shù)獲取外，平時比如看病、買車、買房、買保險，填寫的個人信息都有可能通過黑市被販賣出去?！?/p>

個人信息泄露渠道如此之多，以至于許妙成根本就不清楚，騙子是通過何種渠道，拿到自己在移動通信運營商官網(wǎng)的賬戶和密碼的，“那個官網(wǎng)我其實已經(jīng)很多年不登了”。

17點53分，騙子已經(jīng)登錄了他在運營商官網(wǎng)的賬戶，點擊了幾個鏈接后，很快就為許妙成訂購了手機報的業(yè)務(wù)。系統(tǒng)發(fā)現(xiàn)了這筆訂單，通過官方號碼發(fā)短信反饋給許妙成，但該短信中并未提及該如何退訂這一業(yè)務(wù)。

“我心想，運營商怎么莫名其妙給我開了這么一個鬼業(yè)務(wù)。”許妙成說，他經(jīng)常收到這類信息，幾乎條件反射般回復(fù)了“TD”（常用的退訂業(yè)務(wù)代碼），但系統(tǒng)認為他的代碼不正確，還給了他一個清單“請回復(fù)括號中的指令訂閱以下手機報”。許妙成想到了打客服電話詢問，但在擁擠的地鐵里，他還是決定到家再說。

騙子是不會等的。Ta已經(jīng)有了一個詳細的計劃，計劃的核心是運營商官網(wǎng)上“自助激活4G備用卡”的業(yè)務(wù)。這是該運營商為了開拓4G市場，讓用戶便捷換卡提供的一項服務(wù)，只要有一張空白的4G卡，點擊在線申請后，系統(tǒng)會下發(fā)一個USIM激活碼到舊卡，在網(wǎng)站填寫激活碼后，便可成功將舊卡作廢，啟用新卡。

如果騙子能夠拿到這個激活碼，成功更換新卡，也就意味著許妙成手里的手機卡將作廢，所有的來電、短信都會轉(zhuǎn)移到騙子的手機上去。

人們的手機短信渠道早已經(jīng)危險重重，騙子有多種方式可以拿到這個驗證碼——可以通過偽基站發(fā)送帶有病毒鏈接的地址，如果許妙成點擊了，就會下載木馬病毒或者含有木馬病毒的App，之后他原本能收到的激活碼短信都會被攔截發(fā)到騙子手機上；如果騙子和許妙成在同一輛地鐵上，還可以通過特殊設(shè)備，對手機信號進行干擾，攔截激活碼；如果許妙成手機里的一些App具有短信同步功能，而騙子能夠破解這些賬戶，也可以輕易地獲得這個激活碼。

在所有竊取個人信息的方式里，偽基站是目前最常見的一種，也是技術(shù)最強大的一種。以前還要開車架設(shè)偽基站，現(xiàn)在“偽基站越來越輕便，背一個包就可以帶走”，葛健說，騙子背一個包，專門在人多的地方來回走，或者騎電動車、坐公交車，沿路就會接管輻射范圍內(nèi)的手機信號，并發(fā)送短信。這些短信都可以偽裝成“10086”“95558”等通信運營商或銀行的官方客服號碼，一般都會帶有鏈接。

“而且短信中的網(wǎng)址也特別有迷惑性”，葛健說，比如中國移動官網(wǎng)是10086.cn，偽基站發(fā)過來的鏈接可能用小寫的英文字母“l(fā)”替換掉“1”，變成l0086.cn。

更可怕的漏洞

這次，騙子沒有使用偽基站的方式，而是用個人臨時手機號給許妙成發(fā)了一條短信：

您好！您已成功訂購手機報40元/半年，3分鐘內(nèi)退訂免費。如需退訂請編輯短信“取消+驗證碼”至本條短信退訂。

因為之前剛接收到官方號碼發(fā)來的訂立成功短信，許妙成幾乎不假思索就回復(fù)了“取消+驗證碼”幾個字。他說：“我甚至都沒有注意到這條短信號碼的可疑?！?/p>

騙子收到了許妙成的回復(fù)，并體會到他取消訂閱的急迫心理。這時，Ta用許妙成的賬號在運營商官網(wǎng)上提交了自助換卡的申請，系統(tǒng)收到申請后，向許妙成的舊卡發(fā)送了驗證碼：

尊敬的客戶，您好！您的USIM卡6位驗證碼為388827。

因為騙子在之前自己發(fā)出的短信中著重提及“至本條短信退訂”，所以看到這條由系統(tǒng)發(fā)出的信息后，許妙成再次編輯“取消+388827”，把驗證碼發(fā)回給騙子。騙子看到短信后，迅速在網(wǎng)站填好驗證碼，激活了自己手中已準備好的4G空卡。半小時后，許妙成的手機忽然斷網(wǎng)，失去信號。在重啟無數(shù)次，甚至到家利用Wi-Fi上網(wǎng)查詢解決辦法無果后，他打算第二天再到營業(yè)廳處理。

這時候，騙子則開始利用手機號攻破他支付寶賬戶的安全防護。支付寶的自助重置密碼功能里，可以選擇“通過銀行卡驗證”或者通過“驗證短信+驗證身份證件”兩種方式，也就是說，一旦騙子掌握了用戶的個人信息以及手機號碼，就可以隨意更改密碼了。隨后，騙子利用多個網(wǎng)絡(luò)平臺，開始轉(zhuǎn)走許妙成的3張銀行卡里的錢。雖然支付寶的通知很快讓許妙成意識到賬戶被盜，他也采取了解除綁定銀行卡等行動，但掌握著他手機號、身份證號等諸多信息的騙子，很容易擊破許妙成的補救措施，卡里的3萬多元，陸續(xù)被騙子轉(zhuǎn)走。

在個人身份信息泄露無處不在的當(dāng)下，最重要的安全閥門就是手機號碼了。但正如前面所說，人們的短信通道，其實已經(jīng)不再安全了。

“我們把所有的安全都寄托在一個東西（手機驗證碼）上，”許妙成說，“這是一個機制上的漏洞，非?？膳?。因為沒有科技含量它才可怕，有科技含量證明他的犯罪成本非常高，而且只有極少數(shù)人才能完成，他要破解各種東西。如果它不是一個有科技含量的東西，而是一個機制漏洞，那就相當(dāng)于騙子會隨時鉆空子?！?/p>

我們還能感到安全嗎

跟各家機構(gòu)溝通，讓馬月和許妙成疲憊不堪。

“這件事特別鬧心，我自己沒有任何過失，我正常刷卡，吃飯、看電影、在商場買東西……”馬月說，“當(dāng)時我去派出報案，人家都不給我立案。派出所說你必須讓銀行出示證據(jù)，打印憑條證明你的錢丟了，你口說無憑?！比ャy行，銀行卻說：“轉(zhuǎn)哪兒跟銀行沒關(guān)系，查不了?！?/p>

許妙成也遭遇了類似經(jīng)歷，他所用手機號碼的通信運營商稱：“該案實際上是因客戶被人竊取了網(wǎng)廳登錄賬戶密碼在先（若客戶被人竊取了支付寶賬戶密碼也會產(chǎn)生同樣的經(jīng)濟損失），然后他自己又將換卡驗證碼發(fā)給了騙子。從業(yè)務(wù)辦理流程來看是正常的?！逼鋵?，早在幾個月前，該運營商就意識到了網(wǎng)上自主激活空白卡存在漏洞這個問題。但這個自助服務(wù)通道一直沒有關(guān)閉，直到許妙成的案件發(fā)生后。

通信運營商和銀行其實也在試圖解決各自業(yè)務(wù)中存在的漏洞，比如推廣4G卡。據(jù)葛健透露，4G卡的安全性要高一些，“4G基本上收不到偽基站的短信”。而銀行也一直在力推芯片卡，據(jù)VISA介紹，帶有芯片的信用卡和借記卡可以將被盜刷風(fēng)險降低近20%。

可壞消息是，騙子的技術(shù)，也在更新?lián)Q代。臥底盜刷團伙的記者就發(fā)現(xiàn)，銀行在更新技術(shù)，推行芯片卡，但是盜刷團伙也在破解這種技術(shù)，據(jù)稱盜刷芯片卡的復(fù)制器也已經(jīng)生產(chǎn)出來了。4G卡也存在同樣問題，據(jù)葛健介紹，偽基站已經(jīng)可以通過技術(shù)手段，“專門把你的4G降頻，你信號不好的時候，就降頻了，4G降成3G，3G就變成2G了。這個時候你也會容易收到偽基站的短信”。

這一場騙子與各大機構(gòu)的安全攻防戰(zhàn)，結(jié)果如何，實難預(yù)料。更令人憂慮的是，曾經(jīng)泄露的那些個人信息，依然在黑市流傳，誰也不清楚自己的信息是否包含其中。

（水云間摘自《看天下》2016年第11期，本刊有刪節(jié)，喻 梁圖）