您的位置:首页 > 科技 >
身份可伪装、内容易泄露 短信验证码亟待加把安全锁
来源:人民日报参与互动 2018-08-16 08:28:43

8月14日,深圳龙岗警方宣布打掉一个新型盗刷银行卡犯罪团伙,抓获10名嫌疑人,查缴伪基站等电子设备6套,带破同类案件50余宗,涉案金额逾百万元。据专家分析,嫌疑人通过“GSM劫持+短信嗅探”技术截获受害人短信验证码,从而完成盗刷等操作。截至目前,这是全国该类案件中打掉涉案人数最多、金额最大的一起。

“基于短信验证码实现身份验证的安全风险显著增加。”全国信息安全标准化技术委员会在《网络安全实践指南——应对截获短信验证码实施网络身份假冒攻击的技术指引》中指出。

网友遇怪事

梦中收短信 网银被盗刷

7月30日凌晨5点,从梦中醒来的网友“独钓寒江雪”发现了一件怪事:“手机一直在震,一看,接收了100多条验证码,支付宝、京东、银行什么都有。吓得一下子清醒,去看支付宝,余额宝、余额和关联银行卡的钱都被转走了。京东开了金条、白条功能,借走1万多元。”

人在睡梦中,手机在身边。是谁远程偷看了短信验证码,还利用短信验证码完成了转账购物借贷等操作?据了解,这是不法分子通过“GSM劫持+短信嗅探”技术,实时获取用户手机短信内容,窃取用户信息,盗刷用户账户。

“不法分子先使用伪基站获取用户手机号,再通过网上泄露的数据库,根据手机号码反查用户的姓名、身份证号、银行账号等信息。然后在某些网站启动注册或交易,并利用和用户位置相近的特点窃取用户短信验证码。”北京大学信息科学技术学院副教授陈江说。

有业内人士形容,嗅探硬件“小的跟手机差不多,大得像行李箱,最低成本只用花一顿必胜客的钱”。腾讯守护者计划安全专家周正介绍,目前绝大多数移动互联网服务都采用以手机号和短信验证为基础的识别策略,但国内GSM的语音和短信业务鉴权和加密性偏弱。犯罪分子使用定制化、成本低、易携带的嗅探系统,获取受害人的手机号和短信验证码,进而实施犯罪。

此前已有多地出现“GSM劫持+短信嗅探”盗刷案件。2017年底至2018年8月,腾讯守护者计划安全团队协助北京、福建、广东等地警方打击此类犯罪团伙5个,抓获犯罪嫌疑人25人。

短信漏洞多

身份可伪装 内容易泄露

注册新账号,需要短信验证码;忘记密码又想登录网站,需要短信验证码;在网上转账提现,需要短信验证码……当前,使用短信验证码验证用户身份的技术,被广泛应用于各类移动应用和网站服务。

陈江说:“短信验证码虽然方便高效、容易普及使用,但存在‘是否用户本人使用本人手机完成验证操作’这样的漏洞,给不法分子伪装受害者提供了机会。”

“短信验证码是账号安全的核心,承担着实名认证的任务,是保证资金安全的一把密匙,但目前的关注程度还不高。”中国政法大学传播法研究中心副主任朱巍说。

通过短信验证码登录账号后,不法分子可以获取用户的快递地址、消费记录、通讯录等隐私信息,还可以通过“撞库”“社工”等方式,“集齐”用户的姓名、身份证、银行卡号,实施资金盗刷、电信诈骗、敲诈勒索等活动。

除了被“偷窥”,泄露短信验证码的途径还有很多。有的用户点击了非法链接,手机被安装监听木马;有的不法分子伪装银行客服,直接索取验证码内容;还有运营商内鬼主动泄露,里外勾结。此外,短信云同步、自动填写验证码等功能的初衷虽是方便用户,却也可能被不法分子利用。

安全待升级

改发送方式 加生物识别

“改变短信设置,使用VoLTE技术(基于4G的语音传输技术),改用4G网络传输短信。”“关闭手机蜂窝功能,改用无线网络”“晚上睡觉时关闭手机或调整到飞行模式”……为了避免短信验证码被“偷窥”,不少媒体和热心用户给出了解决方案。

但是,这些方案并不能一劳永逸。比如,就算改用4G传输短信,不法分子也可能在4G网络薄弱的地区“监听”,或用特殊手段把短信“逼”上不够安全的2G通道。

全国信息安全标准化技术委员会建议,网络平台可以要求用户主动发送短信用以验证身份,使用语音通话传输验证码,将用户常用设备和账号绑定,采用指纹识别、人脸识别等生物特征识别技术,同时随机选择多种方式进行验证。

“用户传输敏感隐私信息时,应选择安全性相对高的通信软件,发现手机信号模式异常时应及时更换网络环境。网络平台应增加多维度动态验证机制,对账号异常行为进行强校验,采用生物特征识别技术。运营商应提高4G网络覆盖率和稳定性,推动VoLTE等高清数据传输方式的普及。”周正建议。

“第三方支付机构要注意资金安全,发现异常及时停止服务,避免用户损失。同时,第三方支付也要和银行开展配合,形成立体化风控体系。”朱巍说。

关键词: 验证码 安全
相关文章
网约车需求增速迅猛  “安全”位列热搜榜第一

网约车需求增速迅猛 “安全”位列热搜榜第一

近日,人民日报旗下百代旅行联合人民网舆情数据中心、神州专车共同发布女性出行安全体验报告,用大数据解读女性出行市场特点。报告指出,女更多

2018-06-12 11:19:08
火锅中涮着太多行业痛点:食品安全久治痊愈

火锅中涮着太多行业痛点:食品安全久治痊愈

描述为起源于战国时代的火锅,行业本身却还停留在春秋一般的时代——霸主兴替,小国林立。2017年,正赴港IPO的海底捞已然成为江湖盟主,占有火更多

2018-06-12 11:39:02
路由器都能成后门 物联网设备恐成网络安全重灾区

路由器都能成后门 物联网设备恐成网络安全重灾区

随着人工智能一路高歌猛进,万物互联的智慧生活新时代渐行渐近。当前,物联网设备市场呈指数级增长态势,传统设备接入互联网成为技术发展和更多

2018-06-14 14:11:58
打印机摄像头也会被黑 物联网设备恐成网络安全重灾区

打印机摄像头也会被黑 物联网设备恐成网络安全重

打印机、路由器都能成后门 摄像头也会被黑物联网设备恐成网络安全重灾区资料图:民众体验物联网成果。中新社记者 泱波 摄随着人工智能一路高歌更多

2018-06-14 14:39:22
补上生鲜食品安全短板

补上生鲜食品安全短板

随着居民生活水平的提高,生鲜食品的购买频率也在不断上升。然而,产品标准化程度不足,冷链运输标准不统一等问题制约了行业发展。业内人士更多

2018-07-13 15:32:16
报告显示安全已成为赴美留学生最关心的三大议题之一

报告显示安全已成为赴美留学生最关心的三大议题之

留学生落地救援服务机构万铎科技4日在北京发布《2018年中国赴美留学生安全报告》。报告显示,安全问题超过“语言”和“能否在当地就业”,成为留学生最关注的三大议题之一。更多

2018-08-07 10:24:37

网络安全问题变得更紧迫:没有5G的安全,就很难有

5G时代将网连70亿人、7万亿设备……广泛连接可能不是让5G网络安全问题最严峻的,毕竟受到攻击可以重启,按下暂停键隔离处理。然而当5G成为更多

2019-05-08 09:10:46

网络安全等级保护制度2.0来了,网络安全将发生哪

网络安全等级保护制度2 0国家标准的发布,是具有里程碑意义的一件大事,标志着国家网络安全等级保护工作步入新时代。近日,在由公安部第三更多

2019-05-29 11:34:01

面对即将到来的5G时代,怎么样给数据装上“安全阀

一辆在道路上自动驾驶的汽车,如果被黑客控制,它还能把乘客安全送到目的地吗?在5月29日刚刚落幕的2019数博会上,图灵奖获得者惠特菲尔德·更多

2019-05-31 15:39:51

“互联网+施工” 工地情况一目了然,建地铁有了

如今,北京地铁二期规划建设正如火如荼,共涉及12条线路、263公里,完工后首都地铁总里程将达1374公里。北京市重大项目办相关负责人表示,更多

2019-06-03 16:42:12