网友亲历诈骗！安全专家详解：一个验证码如何让你倾家荡产

豆瓣鱼 · 发表于 2016-4-14 23:09

最近，一篇名为《实录亲历网络诈骗，互联网是如何让我生无分文？》的文章在网络广为传播。

　　作者表示，他莫名其妙地收到一条“订阅增值业务”的短信，根据提示回复了“取消+验证码”之后，自己的漫长的噩梦就此开启：

手机号码失效，半天之内支付宝、银行卡上的资金被席卷一空。

　　而损失巨大的作者到最后也没有完全明白自己的钱究竟是怎样被黑客盗取的。

　　作为爱和正义的守护者，雷锋网义不容辞，特地采访到腾讯手机管家安全专家陆兆华大牛，详细解析一下这个诈骗过程中每一步的技术细节。现在请各位童鞋系好安全带，老司机要带你上路了。

　　核弹引信——验证码

　　作者的噩梦开始于拥挤的地铁车厢里。

他的手机忽然收到一条短信：来源为“1065800”的号码发来了一条短信杂志。
接着，来源为“10086”的号码发来了一条短信，提醒他“开通了中广财经半年包业务”。
同时发来的还有一条“余额不足”的短信。

　　正在他纳闷且愤怒的时候，来源为“10658139013816280086”的号码发来了一条短信：

您成功订阅了中国移动的（中广财经）40 元/半年，3 分钟退订免费。如需退订请编辑短信“取消+校验码”至本条短信退订。”署名“中国移动”。

豆瓣鱼 · 发表于 2016-4-14 23:11

骗子伪装 10086 向受害者发送钓鱼短信（只有最后一条验证码来自真正的 10086）】

　　至此，所有的证据都指向“万恶的”中国移动。看客们一定认为中国移动又在欺负无辜的消费者，私自为客户订阅了垃圾增值服务。没错，受害者本人也是这么想的。此时，作者的内心大概是：“这 SB 又给我瞎定什么业务？还需要 40 元/半年，什么鬼？”不过，他马上注意到，短信上这个服务是可以被退订的。“中国移动还算有操守“他一边这样想，一边收到了“10086”发来的又一条短信：“尊敬的客户，您的 USIM 卡 6 位验证码为******”。一心只想快点退订这个破业务的作者压根就没注意什么叫“USIM 卡验证码”，直接回复了“取消+******（验证码）”。

灰灰太狼1 · 发表于 2016-4-14 23:13

学到知识了。谢谢豆瓣！！！

豆瓣鱼 · 发表于 2016-4-14 23:44

【受害者不知情，把更改 USIM 卡的验证码发给了骗子】

　　从收到第一条短信，到作者回复验证码，地铁也许还没有行进一站，一切都看起来都是那么平常。但是，一个巨大的阴谋已经把他拖进了深渊。。。

　　让我们看看这串眼花缭乱的短信背后究竟发生了什么：

陆兆华告诉雷锋网：
这是一个电信诈骗的经典手段。整个骗局的关键就在于这个“USIM 卡验证码”。
诈骗分子需要预先准备一张空白的 4G USIM 卡。目前，在淘宝等电商平台上可以轻松买到一张空白的 4G USIM 卡。然后，诈骗分子向运营商申请自主更换 USIM 卡业务。这个业务的完成需要一个验证码。于是骗子借退订 SP 业务迷惑受害者回复验证码（实际上是更换新 USIM 卡的验证信息）到特定的短信端口（骗子接收）。受害者以为自己是在退订业务，实际上已经把最重要的验证信息给了骗子。
骗子利用这个验证码，可以直接在异地复制一张 USIM 卡，而导致真正的 USIM 卡失效。这样一来，机主的手机号码就会被诈骗分子完全控制。

灰灰太狼1 · 发表于 2016-4-14 23:45

骗子多啊！

灰灰太狼1 · 发表于 2016-4-14 23:45

骗子多啊！

周哥 · 发表于 2016-4-15 09:58

防不胜防。

豆瓣鱼 · 发表于 2016-4-15 10:47

论坛年龄偏大，昨天一直卡，今天继续::lol

【通过运营商自助换卡业务进行诈骗的流程】

　　究竟谁是“你”？

　　如果突然有一天，你看到了一个和你一模一样的人，他辩称自己就是你，甚至知道你的所有个人信息，认识你的所有朋友，那么，究竟“你”是你，还是“他”是你呢？

在网络世界里，证明“你”是“你”的所有证据，只有你的手机号、验证码、邮箱、身份证号等有限的几个证据。如果坏人掌握了这些信息，他就会在赛博空间一点一点变成你，甚至比你还像你，让真正的你百口莫辩。

　　我们来继续讲述这个悲伤的故事。

　　果然，不久作者就发现自己的手机失去了信号。（此刻他的手机卡已经失效，而骗子手中的空白卡已经生效）他以为自己由于被恶意扣费，导致了停机，于是打算回到家再进行处理。但是，到家之后作者发现，竟然连中国移动的客服电话“10086”都无法拨通，甚至更换手机也没有信号。但是，此刻手机仍然能接收 Wi-Fi 信号。“噩耗”就是通过 Wi-Fi 传来的。

　　支付宝突然弹窗，出现两条消费提醒：一笔为“5 元的游戏币充值”；一笔为小额的转账“从余额宝转账到绑定的招商银行”。自此，雪片般的转账信息倾泻而出。

豆瓣鱼 · 发表于 2016-4-15 10:51

【支付宝的转账信息】

　　大部分的操作都是将支付宝中的余额分批次转到银行卡。作者的第一反应是给支付宝客服打电话冻结自己的账户，但是，他绝望地发现自己的手机仍然没信号。此刻家里没有其他人，在短暂的空白之后，作者终于想到了要解绑银行卡。然而，资金被转出的速度太快。当作者解绑银行卡之后，账户中的资金已经所剩无几。不过，此时骗子已经没有办法把钱转到银行卡中了，于是竟然丧性病狂地用最后一百多块钱给一个手机号码充了值。（作者调查这个号码时，它已停机）

　　当然，整件事情还没有结束，不过，我们先暂停一下，看看截至目前，骗子究竟是怎样做到的：

陆兆华给出了他的分析：
此时最为关键的环节是骗子控制了失主的支付宝。理论上，盗取支付宝权限有很多方法。目前大部分邮箱都是依靠手机短信验证码来进行二次身份验证的，诈骗分子可以通过手机号码找回密码或者是利用短信验证码进入邮箱，从而篡改邮箱密码，再利用手机号码和邮箱来找回支付宝密码，安装支付证书。从而直接在异地登录支付宝进行操作。

　　这个时候，理论上资金还没有离开作者的掌控，只是从支付宝到了银行卡。于是他紧急登陆自己的网银，却惊奇地发现网银的密码已经被篡改，从而无法登陆。此刻他竟然无法掌握自己的账户信息，任凭坏人摆布。这时他挽回损失的唯一方法就是挂失银行卡。由于手机没有信号，他紧急联系女友代为进行银行挂失。由于支付宝连接了好几张银行卡，用电话挂失还要听完银行自助语音的无数废话，完成挂失用去了比预想中更长的时间。当所有的银行卡都被挂失之后，作者已经完成了他所能做的一切。

　　第二天，作者去银行打印流水的时候，才发现自己的所有银行卡上的所有资金都已经被转走，一分不剩。直到这一天晚上，他才发现原来自己的 163 邮箱密码也被更改。

豆瓣鱼 · 发表于 2016-4-15 11:26

发个帖子要肉死，算了，明天再发

豆瓣鱼 · 发表于 2016-4-15 11:42

干得起了，继续;P

豆瓣鱼 · 发表于 2016-4-15 11:58

【骗子利用受害者的邮箱在异地安装了支付宝的数字证书】

　　作者怎么也想不明白，丧心病狂的骗子为什么能够修改自己的网银密码呢？

陆兆华判断：
实际上骗子早已通过手机验证修改了失主的邮箱密码。此时，骗子手里的筹码有：失主的电话、邮箱、姓名、银行卡账号。目前很多网银的密码修改已经不需要U盾，所以这些筹码已经足够修改他的网银密码。
对于某些银行来说，也许还需要用户提供身份证号等信息。但是，这也依然拦不住诈骗分子。因为在网络上，有很多平台在兜售巨大数量的个人信息。大部分人的身份证号、生日信息等基本资料在地下市场都可以找到，可以说得来全不费工夫。
完全掌握了个人隐私信息并掌握受害者的手机 USIM 卡，就可以完全替代受害者身份进行资金操作转账等操作。

　　冰冷的结局

　　在银行的转账详单上，作者发现了犯罪分子的资金转移轨迹，他们把作者的钱从不同的银行卡归集到一张卡上，然后再统一通过该银行网银划走。（骗子这样做的原因很可能是因为某银行管制稍松，可以在短时间内转出大额资金。）另外，作者还在转账详单上发现了数笔从百度钱包转出的资金。也就是说，在诈骗分子用支付宝归集资金的同时，也在用百度钱包做同样的事情。而可怕的是，作者自己都已经卸载了百度钱包很久，甚至忘记了登陆密码。

灰灰太狼1 · 发表于 2016-4-15 12:29

豆瓣辛苦了！

豆瓣鱼 · 发表于 2016-4-15 12:50

不客气:lol，诈骗帖再继续，马上发下篇帖子

四川手机网友00 · 发表于 2016-4-15 13:31

防不胜防，原来没有贪念也会被骗。

那一年灬终究 · 发表于 2016-4-15 21:34

版主说得太有道理了。

灰灰太狼1 · 发表于 2016-12-7 11:45

大家注意啦~~~今天有很多人收到短信说其名下的银行卡已失效，请点击链接！这是假的！！！！千万不要点！！！！今天已经有n个人因为点入了网址链接钱款被盗刷！千万不要再点了！！！近期有新规定施行，诈骗技术也是随之更新，如有异常情况请及时与开户行联系，请勿轻信短信、电话、网络链接等，以避免带来不必要的损失！～
转转转！！！