一、事件始末
小白:大东东,近期各地陆续发生一些利用短信验证码冒用身份的案件,攻击者窃取银行账户、金融类app中的财产,被害者蒙受了极为严重的经济损失,这事儿你知道不? [本文来自:www.ii77.com]
[原创文章:www.ii77.com]
大东:知道知道,眼睛一闭一睁,发现各个支付..及关联银行卡内的资金不翼而飞。
受害者收到的短信验证码
小白:你说蹊跷不蹊跷,这盗贼太没有良心了,窃取账户中那么多钱。
大东:贼若有良心还能成为贼?不过这种事情也不是第一次发生了。
小白:可怕,我看有一些疑似专业人士分析,说这是一种伪基站实施“GSM劫持+短信嗅探”的网络身份攻击的技术又重出江湖,再次作案,大东,“GSM劫持+短信嗅探”是什么技术啊?
大东:这件事情我不确定是不是通过“GSM劫持+短信嗅探”技术造成的,但是我可以先给你讲讲这个技术。
小白:好啊好啊。
大东:其实这件事儿还得从短信验证的漏洞说起~
二、短信验证的漏洞
大东:在非智能手机时代,要入侵手机窃取短信是比较困难的——不是不可能,但比较困难。但随着智能手机的普及,入侵手机窃取短信已经变得比较容易。
小白:是啊是啊,现在..账户都是用手机号..,登录也是用短信验证码登录,所以现在很多 APP 都有读取短信的权限,这本身就是很大的隐患。
大东:另外,还有一个功能也有很大的隐患,就是云端同步功能,很多手机都会自动把短信同步到云端,如果攻击者掌握了你的云账号信息,你的所有短信也就手到擒来了。
小白:感觉把自己的短信送到攻击者手里了….
大东:还有就是你把手机丢了….
小白:这是确确实实把短信捧着送到攻击者手里了!
大东:甚至不入侵手机也可以窃取到短信。前几年,有些运营商推出了“短信保管箱”业务,用户可以用电脑在运营商网站上在线读取短信。
小白:得,电脑被入侵了,短信也保不住了。那如果上述几条都被聪明的我避免了,是不是短信就不会被窃取了呢?
大东:too young,too simple。这就要说到“GSM 劫持+短信嗅探”技术了,我们先从伪基站说起。
三、GSM 劫持+短信嗅探
大东:伪基站顾名思义是一个假的基站,一般是由一个主机和笔记本电脑或手机伪装成运营商的基站,利用2G移动通信的缺陷,扫描信号覆盖范围内的手机号码,冒用他人手机号码强行向用户手机发送诈骗、广告推销等短信息。
“伪基站”技术作案流程
小白:原来我手机里的垃圾短信都是这么来的。里面还有一些恶意链接总想让我上当。那黑客是怎么知道我手机里的短信验证码的呢?
大东:这就是要说的“GSM 劫持+短信嗅探”技术了,这种攻击的原理是因为 GSM 短信没有加密,所以不法分子可以用一些窃听手法听到短信内容。这种方法是被动的,就是只“听”,不发射任何非法的无线信号。
小白:听起来过程怎么这么简单?这么简单短信验证码就被别人知道了?
大东:因为短信所用的无线信道并不那么可靠。虽然目前国内3G/4G已经普及,但大部分地区只是上网走3G/4G,短信还是通过不安全的 GSM 网络在发送,而 GSM 是非常容易被监听的。
小白:不会吧,GSM 可是应用最广泛的移动通信系统,这么容易被监听?
大东:你还别不信,早在十几年前,如果要通过监听无线信号窃取短信,所用设备至少价值几十万元。但在今天,数千元就能买到同样功能的设备。
小白:真的么?数千元?
大东:如果要求不高并且愿意自己动手,花上不到一百元也能做出勉强可用的设备。
小白:一百元?这投入成本也太低了吧,简直是空手套白狼。
大东:我这里甚至还有监听短信的方法。
小白:方法?怕不是这起案件是你干的吧。
大东:说什么呢?我没试验过,但是早在2013年,TK 教主于旸就在一个演讲中,谈到过此事。下面这张图就是当时 TK 教主通过监听无线信号获取到的一条运营商流量提醒短信:
TK通过监听无线信号获取的短信(图片来源:果壳)
小白:TK 教主五年前就注意到了,果然我男神!话说回来,黑客知道了我的短信验证码,登录的时候需要手机号又是怎么知道的呢?
大东:知道你手机号就更简单了,在短信劫持的帮助下,以中国移动为例,不法分子劫持到中国移动139邮箱发送来的短信后,复制其中的链接到浏览器,点击“进入掌上营业厅”,就可以直接看到手机号了。
139邮箱短信(图片来源:微信公众号“终结诈骗”)
小白:会不会有点太easy了,easy到难以置信。
大东:值得注意的是,有专家指出,账户被盗刷是多种因素造成的,短信嗅探只是其中一环,根源仍在个人信息泄露。受害者的手机号、..账号、身份证号、银行卡号等个人信息应该已经泄露过,否则,不法分子仅凭一个验证码,无法完成借款、转账等操作。
小白:这个大东讲过,拖库、撞库、洗库、社工库,黑产运行下的我们都在裸奔。
四、防范措施
小白:这人人都避免不了用短信验证码,有哪些防范措施可以避免被攻击呢?
大东:平时保护好个人的账号、手机号、身份证号等敏感信息,在不同的..使用不同的账号密码,降低“撞库”风险。
小白:这个科普“撞库”的时候说过了,但是不同..使用不同密码非人性啊!
大东:还有就是在有条件的..选择邮件等作为登录账号,并开启人脸、指纹等多种验证方式。
小白:这个可以有,不过手机没有人脸识别功能…..
大东:看到奇怪的验证码和短信,或是手机信号突然从4G降到2G,要马上意识到可能已被劫持攻击,立即向相关支付..或者金融机构核实。发现资金受损,保留好短信证据,尽快报警。
小白:这个肯定的啊!但是现在就没有一些短信加密的技术来保护我们的短信么?
大东:这个有是有,感兴趣你可以查一查,安全行业内的普遍做法是对交易过程的短信验证码进行加密方案,来保证被劫持的短信不能直接用于交易,但我觉得这个也是脚痛医脚的方案。
小白:那这是对短信验证码泄露问题束手无策了?
大东:办法是有的,可以尝试开通 VoLTE 功能,让短信也通过3G/4G网络传输,增加通过无线监听窃取短信的难度。具体方法是:
开通VoLTE功能方法(图片来源:果壳)
当然光靠个人用户的努力,效果比较小,还是需要大家共同努力,包括运营商、手机厂商和互联网公司。
小白:不说了,我去开通VoLTE功能了。
来源:中国科学院计算技术研究所
大家好,小乐今天来为大家解答处方药标志大全图片以下问题,处方药品标识图很多人还不知道,现在让我们一起来看看吧!1、处方药和非处方药的
大家好,小乐今天来为大家解答男生和女生一起裸睡以下问题,男生和女生一起裸睡很多人还不知道,现在让我们一起来看看吧!1、如果男生女生已
大家好,小美今天来为大家解答帝王妃以下问题,盛世帝王妃很多人还不知道,现在让我们一起来看看吧!1、建兰帝王妃不上花是因为培养时出了问
大家好,小豪今天来为大家解答外婆的澎湖湾简谱以下问题,外婆的澎湖湾歌词很多人还不知道,现在让我们一起来看看吧!1、我的 【简谱】外婆的
大家好,小伟今天来为大家解答莱商银行手机银行官网下载新版以下问题,莱商银行官方下载很多人还不知道,现在让我们一起来看看吧!1、一、
没有无缘无故的碰见,所有相遇,都是在雄厚你的履历。人这平生,会碰到无数的人。有人带给你打动,有人带给你平坦,还有人教会你成长……所
点击上方 存眷我们 点星标★不迷路《托育机构质量评估尺度》4月1日起施行国度卫生健康委发布《托育机构质量评估尺度》,自2024年4月1日起施行。
大家好,小丽今天来为大家解答缴税退款操作流程以下问题,交税退税怎么个流程很多人还不知道,现在让我们一起来看看吧!1、退款流程一般包括
本文内容来自网友供稿,如有信息侵犯了您的权益,请联系反馈核实
Copyright 2024.爱妻自媒体,让大家了解更多图文资讯!