存款盗刷调查伪基站操控手机验证码

来源:新京报

李天明收到的各类验证码。受访者供图

警方查获的作案工具。犯罪嫌疑人通过伪基站和嗅探设备获取手机号和短信验证码。新京报记者陈景收摄

“一夜醒来，卡上存款不翼而飞。”近日，全国多地接连发生多起银行卡被盗刷事件。深圳市龙岗警方历时一个多月，打掉一个涉嫌全链条盗刷银行卡的团伙，抓捕10名嫌疑人，涉案金额逾百万元。

在此之前，郑州、广州、厦门等地警方也相继破获类似案件。这些银行卡盗刷案件作案手段一致，均是利用手机2G网络（GSM）不加密传输的漏洞，通过伪基站和短信嗅探器，在一定范围内获取用户手机号码和短信验证码。之后，再利用各大银行、网站、移动支付APP存在的漏洞和缺陷，实现信息窃取、资金盗刷。

“这种盗刷方式危害性很大。不同于以往电信诈骗需要受害人配合，而是在你不知不觉的情况下，就盗刷了。”深圳市公安局龙岗分局龙新派出所所长占小明告诉新京报记者。

新京报记者了解到，由于嗅探设备、伪基站操作简单，以及各类APP身份验证方式简单，此类盗刷的门槛较低，存在较大的安全隐患。

对此，腾讯守护者计划安全专家周正认为，运营商应该提高4G网络覆盖率和稳定性，强制语音和短信业务也走4G通道；而各类APP应用应该通过常用设备绑定、账号异常行为强校验、增加人脸识别验证等手段，增强APP身份验证的难度。

睡觉时，银行卡被盗刷

7月6日凌晨五点半左右，家住深圳龙岗上垅塘的李天明（化名）在睡梦中被持续的手机震动声吵醒。他起床发现手机连续收到了数十条短信验证码和消费通知。验证码的平台包括途牛网、瓜子二手车、支付宝、京东等。

“我当时感到很惊讶，手机都没动，怎么会出现这种情况？”李天明告诉新京报记者，他通过短信消费通知发现，其绑定在京东上的兴业银行卡正在被消费。

李天明登录京东查看情况，却发现登录密码也已经被重置。根据短信显示，他的京东支付密码和登录密码分别于当天4时42分、5时32分被修改。“我赶紧打电话给兴业银行，进行挂失，将账户冻结。”事后，李天明感到庆幸，由于处理及时，他的兴业银行卡只被盗刷了块钱，而他那张卡余额有2元。

不过，李天明的损失不止这些。盗刷者还替他开通了京东金条，并成功借款1.1万元。“这笔借款是打到我的一张建行卡上。”短信信息显示，李天明的京东金条借款于5时8分到账。之后，盗刷者用李天明的手机号码在招商银行信用卡平台——掌上生活注册了一网通账号，并开始消费。

在这次盗刷中，李天明总共损失了1.7万元。刚开始，他找京东理赔遭到拒绝，因为一切行为都像是李天明自己在操作。“所有的步骤都需要短信验证码，借款也是打到我自己的卡里。犯罪分子窃取我的信息后，在网上他就是我。”李天明说。

网友“独钓寒江雪”也遭遇了和李天明同样的情况。8月1日，“独钓寒江雪”在豆瓣上发帖《这下一无所有了》，讲述自己被盗刷的经历。

根据上述帖子，7月30日凌晨5点，“独钓寒江雪”发现自己的手机接收到了多条短信验证码，支付宝、余额宝里的余额、关联银行卡的钱都被转走了。京东还被开通了金条、白条功能，借款00多元。

起初，支付宝、京东同样拒绝理赔，原因也是认为这是“独钓寒江雪”本人操作。支付宝相关人士此前在接受媒体采访时表示，从当晚操作的状态来看，登录账户、修改密码、购物、提现的校验全部一次通过，像是账户本人或是熟人操作。

银行卡被盗刷后，李天明到龙新派出所报案，“警察说，最近已经接到多起类似的报案，是犯罪嫌疑人通过短信嗅探作案。”

“这是一种新型的侵财犯罪行为，之前很少见。”龙新派出所一位办案民警告诉新京报记者，最初接到报案的时候，连他们也不太相信会有这种情况发生，“当时正好也是世界杯期间，我自己心里还以为事主是赌球输了，没法跟家人交代，编造的借口。”

2G网络传输漏洞

接到报警后，龙新派出所开始调查，了解到近期深圳及全国各地均有同类案件发生。“后来我们派出所也陆续接到了多起同类报案。”龙新派出所所长占小明告诉新京报记者。

随后，龙岗分局组织成立了专案组全面展开侦查。龙岗警方发现，此案件中，犯罪嫌疑人是利用伪基站、短信嗅探器，在一定距离内，盗取受害者手机号、短信验证码，之后再实施针对移动支付、互联网金融、社交软件等APP应用的信息窃取、资金盗刷、网络诈骗等。

今年三四月，此案中的犯罪嫌疑人谭亮（化名）在QQ群中看到，有人发布信息售卖短信嗅探设备。“一开始觉得很好奇，别人的短信我都可以偷看到。”

谭亮此前在电子厂工作，大学期间，因爱好计算机技术，时常帮同学修电脑。他属于“技术控”，经常混迹在各种计算机技术讨论群。

5月，谭亮购买了一套短信嗅探设备。由于本身具备一定的技术基础，谭亮很快就学会了这套设备的使用。不过，很快他便发现，只嗅探别人短信，除了偷窥隐私，没有别的用处，“只看到了一堆短信，但是不知道是哪个手机的。”

“一开始只是对嗅探技术好奇，但QQ群里，有人经常在发信息，说又盗刷了多少钱，慢慢就动心了。”谭亮告诉新京报记者，后来他了解到如果要看到手机号码，还需要“手机号码采集器”。这一装置主要组成部分是一个伪基站。

伪基站之所以能发挥作用，实际上利用的是2G网络单向鉴权的缺陷。

所谓鉴权，是手机用户与移动通讯网络之间的认证机制，也就是，两者之间要进行身份识别。不过，根据中国移动通信集团公司研究院高级工程师粟栗年发表的《移动通信网2G/3G/4G互操作风险分析与防护方案》，在2G网络中，鉴权是单向的，即仅要求网络对用户进行认证，而用户不对网络的真实性进行鉴权。因此，在2G网络条件下，攻击者可将伪基站信号强度放大，从而强制用户接入。也就是说，在2G网络条件下，基站可以鉴定手机的合法性，但是手机无法鉴定基站的合法性。这也就使得假冒的基站（伪基站）可以与手机进行连接通信。

“通过号码采集器，就可以把附近2G制式下的手机号码都吸附过来，形成虚拟拨号，拨到一个系统指定的手机上，这样就能看到附近人的手机号码。与短信嗅探器一起使用，就可以将手机号码和短信验证码进行匹配。”谭亮说。

“目前，绝大部分的移动互联网应用服务，都是以用户手机和短信验证为基础的安全策略。”腾讯守护者计划安全专家周正告诉新京报记者，犯罪嫌疑人只要截获用户移动通讯的核心信息：短信验证码，即可盗刷。而国内2G网络的语音和短信业务单向鉴权、缺乏有效加密，且明文传输，通讯安全性较差，使得短信验证码存在被劫持和嗅探的风险。

事实上，2G网络信息嗅探技术在几年前就已经出现。据公开信息，年，德国计算机工程师卡尔斯顿·诺尔就宣布，他已经破解了GSM技术的加密算法，并将破解后的代码放到网上供人下载。利用这些代码，一台个人计算机、一部无线电接收装置就可截获移动电话用户的语音信息。

此后，针对GSM协议的破解越来越成熟，衍生出了多个开源项目。年，Osmo