文 / 寧宇
4月11日，一篇名為《實(shí)錄親歷網(wǎng)絡(luò)詐騙，互聯(lián)網(wǎng)是如何讓我身無(wú)分文？》的文章作者“趣火星”（以下我稱其為受害者）稱，由于一條短信，他支付寶、銀行卡及百度錢包內(nèi)的所以資金，都被騙子徹底洗劫。
一夜之間，傾家蕩產(chǎn)。
他是怎樣被洗劫的？
這位蒙受巨大損失的受害者，并不了解通信與網(wǎng)絡(luò)技術(shù)，直到最后也沒有真正搞明白，黑客/騙子是如何洗劫自己的。昨天，雷鋒網(wǎng)也有訪談安全專家，詳細(xì)解析了整個(gè)過(guò)程的技術(shù)細(xì)節(jié)，非常專業(yè)全面。微博名人@奧卡姆剃刀 也就此寫了分析文章，認(rèn)為此案是偽基站再次作祟。但這些分析，在我看來(lái)仍存有疑問(wèn)。
我從受害者的實(shí)錄和業(yè)務(wù)邏輯，技術(shù)分析一下這枚“核彈”是如何被引爆的。
整個(gè)案件的關(guān)鍵，是騙子獲取了受害者的補(bǔ)卡驗(yàn)證碼，導(dǎo)致手機(jī)號(hào)碼被盜用，并觸發(fā)連鎖反應(yīng)：利用手機(jī)連續(xù)攻破郵箱、支付寶，乃至各家銀行以及百度錢包。
關(guān)于這個(gè)詐騙行業(yè)的后半部分，雷鋒網(wǎng)的解讀材料分析得非常清楚，將騙子獲得的'驗(yàn)證碼'稱為'核彈引信'是恰如其分的。但騙子是如何獲取到受害者的補(bǔ)卡驗(yàn)證碼的呢？
對(duì)此，雷鋒網(wǎng)以及奧卡姆剃刀老師都認(rèn)為，10086發(fā)送的信息是偽基站作祟。雷鋒網(wǎng)的文章中還引用了【通過(guò)運(yùn)營(yíng)商自助換卡業(yè)務(wù)進(jìn)行詐騙的流程】，列出的邏輯是“騙子誘騙用戶發(fā)送HK開頭的短信指令，進(jìn)而實(shí)現(xiàn)換卡”。但我的判斷卻與他們不同，雖然偽基站作惡無(wú)窮，但騙子這一次使用的手段，可能還真的不是偽基站。
為了躲避運(yùn)營(yíng)商和公安部門的聯(lián)合打擊，偽基站很多都是流動(dòng)作案，而且主要是向用戶推送信息。雖然技術(shù)上可以做到偽基站與用戶持續(xù)交互通信，但以前并未見到類似情況發(fā)生。尤其受害者最早接收到信息時(shí)并不是在地面，而是在地鐵上，之后又有多次位置變更，所以進(jìn)一步降低了偽基站作案的可能。
（雷鋒網(wǎng)分析文章列出的【通過(guò)運(yùn)營(yíng)商自助換卡業(yè)務(wù)進(jìn)行詐騙的流程】）
受害者與10658000的交互
受害者整個(gè)遭遇的起點(diǎn)，是訂購(gòu)了'中廣財(cái)經(jīng)'手機(jī)報(bào)業(yè)務(wù)，這個(gè)訂購(gòu)過(guò)程非常蹊蹺。
從受害者反映的情況看，10086回復(fù)的短信內(nèi)容顯示，訂購(gòu)關(guān)系是17:53生效的，之后就是17:54分收到了10658000發(fā)送的手機(jī)報(bào)樣刊。
其一，用戶訂購(gòu)SP業(yè)務(wù)，中國(guó)移動(dòng)會(huì)向用戶發(fā)送二次確認(rèn)信息，待用戶回復(fù)確認(rèn)信息之后，才會(huì)正式開通。而從受害者的描述來(lái)看，并沒有收到二次確認(rèn)信息。
其二，自此之后騙子與受害者基本就是一對(duì)一交互，從交互過(guò)程看，騙子應(yīng)該對(duì)受害者剛剛訂購(gòu)這個(gè)業(yè)務(wù)非常了解，進(jìn)而利用前面的交互，讓受害者產(chǎn)生錯(cuò)覺，最終將USIM換卡的驗(yàn)證碼誤以為了退訂業(yè)務(wù)的驗(yàn)證碼。
實(shí)施電信詐騙通常的方式是開始'大片撒網(wǎng)'，再?gòu)闹羞x擇特定的對(duì)象實(shí)施下一步計(jì)劃。因此從群發(fā)信息轉(zhuǎn)到一對(duì)一溝通，往往是騙子能夠控制甚至主動(dòng)選擇的。雷鋒網(wǎng)在文章中列出的業(yè)務(wù)流程，需要用戶手動(dòng)發(fā)送HK開頭的短信換卡指令，但在本案中，騙子并沒有要求，受害者也并沒有發(fā)送類似指令，也不可能為所有接收到偽基站消息的用戶主動(dòng)申請(qǐng)換卡。
所以，我的是懷疑是，騙子通過(guò)其他方式給用戶強(qiáng)行定制了“央廣財(cái)經(jīng)”這個(gè)業(yè)務(wù)，比如通過(guò)WAP或者別的在線渠道盜用受害者名義訂購(gòu)業(yè)務(wù)，這種情況下是由對(duì)應(yīng)的渠道進(jìn)行二次確認(rèn)，而受害者并不知情。
（昨天北京移動(dòng)發(fā)布信息，證實(shí)有人以受害者身份登錄移動(dòng)的網(wǎng)上營(yíng)業(yè)廳，在網(wǎng)上訂購(gòu)了'央廣財(cái)經(jīng)'業(yè)務(wù)。由此我懷疑，騙子在網(wǎng)站上逐個(gè)試驗(yàn)，試到這個(gè)弱密碼的用戶，盜用其身份后開始行動(dòng)）
這也就是說(shuō)，受害者收到的10658000和10086開頭的短信，都不是偽基站的消息。而是騙子冒充用戶訂購(gòu)業(yè)務(wù)之后，系統(tǒng)正常的業(yè)務(wù)告知通知。
但此時(shí)騙子真正的目的還沒有顯露：這時(shí)受害者只是被強(qiáng)行定制了一個(gè)業(yè)務(wù)，如果他不對(duì)騙子后續(xù)的行為形成響應(yīng)，后續(xù)的詐騙流程也不會(huì)被真正激活。
詐騙短信從何而來(lái)
騙局的關(guān)鍵在于'USIM卡驗(yàn)證碼'，騙子向運(yùn)營(yíng)商申請(qǐng)自助換卡，而這個(gè)業(yè)務(wù)的完成需要一個(gè)驗(yàn)證碼。
那這個(gè)自助換卡是個(gè)什么業(yè)務(wù)呢？
大家可以去淘寶等電商平臺(tái)看看，移動(dòng)的4G自助換卡業(yè)務(wù)，必須是由原卡發(fā)送一條專用指令，也就是說(shuō)，中國(guó)移動(dòng)推行最廣的'快速換卡'業(yè)務(wù)，必須由原手機(jī)發(fā)起操作，并不符合這個(gè)案例的應(yīng)用場(chǎng)景。
那會(huì)不會(huì)是營(yíng)業(yè)廳人員沒有驗(yàn)證客戶信息，就直接操作了呢？
首先，時(shí)間不對(duì)。換卡時(shí)間是下午六點(diǎn)之后，此時(shí)營(yíng)業(yè)廳已經(jīng)下班；
其次，去營(yíng)業(yè)廳換卡的客戶應(yīng)該體驗(yàn)過(guò)，換卡的步驟是（1）操作人員詢問(wèn)客戶號(hào)碼，（2）操作人員通過(guò)系統(tǒng)給該用戶發(fā)送校驗(yàn)碼，（3）操作人員得到該校驗(yàn)碼后輸入系統(tǒng)，完成補(bǔ)卡。這也和受害者描述的過(guò)程不符。
根據(jù)受害者描述的業(yè)務(wù)場(chǎng)景分析，騙子辦理的可能是'網(wǎng)選短寫'業(yè)務(wù)，這個(gè)業(yè)務(wù)并非全國(guó)通行，只在包括北京在內(nèi)的部分地區(qū)試點(diǎn)開通，知之者甚少。而騙子恰恰找到了這個(gè)業(yè)務(wù)，完成了這個(gè)騙局，也真是花了心思！
那么，那條騙用戶泄露校驗(yàn)碼的那條短信又是誰(shuí)發(fā)的？106581390XXXX，這是中國(guó)移動(dòng)的139郵箱發(fā)送短信的ID，這又是一項(xiàng)不為常人所知的功能。
用戶登錄139郵箱后，可以給其他人發(fā)短信，而短信回復(fù)的內(nèi)容就會(huì)送達(dá)郵箱。
從受害者貼出來(lái)的信息可以看出：騙子是在確切知道受害者手機(jī)號(hào)碼，在139郵箱里編輯了一條'定制'短信，從受害者那里騙到了關(guān)鍵的'USIM卡校驗(yàn)碼'。
總結(jié)一下：騙子先給受害者強(qiáng)行定制業(yè)務(wù)，然后以受害者的號(hào)碼向運(yùn)營(yíng)商發(fā)起換卡申請(qǐng)，系統(tǒng)向用戶下發(fā)USIM卡的驗(yàn)證碼。此時(shí)，用戶被此前突然被定制的情況迷惑，與騙子形成了互動(dòng)，將USIM換卡的驗(yàn)證碼發(fā)給對(duì)方。
至此，受害者門戶洞開。
騙子后續(xù)的操作
獲得了USIM卡校驗(yàn)碼，騙子就可以激活新卡，與此同時(shí)受害者手中的SIM卡作廢。這時(shí)騙子只得到了號(hào)碼和手機(jī)，那他又是如何把受害者搞得一貧如洗呢？
首先，騙子用手機(jī)為賬號(hào)，登錄支付寶。
請(qǐng)注意：此時(shí)騙子并不知道用戶的支付寶密碼。接下來(lái)騙子使用支付寶提供的找回密碼功能，輸入手機(jī)號(hào)進(jìn)行驗(yàn)證之后，彈出的頁(yè)面是'你正在為賬戶XXXXXX重置登錄密碼'。
很不幸，受害者的賬戶名是網(wǎng)易的一個(gè)郵箱地址。雖然看不到郵箱的全部信息，但是網(wǎng)易郵箱提供了這樣的功能：輸入綁定的手機(jī)號(hào)之后，可以下發(fā)驗(yàn)證碼重置登錄密碼。
于是，騙子就用手里受害者的手機(jī)號(hào)，成功地進(jìn)入了網(wǎng)易郵箱，進(jìn)而登錄了支付寶，實(shí)施后續(xù)的轉(zhuǎn)賬、支付等行為。
后面的故事，雷鋒網(wǎng)的分析說(shuō)得很清晰透徹，我就不再贅述了。
從法律角度來(lái)說(shuō)，運(yùn)營(yíng)商、銀行以及支付寶等，執(zhí)行的所有操作都是合規(guī)的自動(dòng)化流程，完全不知道這是騙子還是受害者發(fā)起的業(yè)務(wù)請(qǐng)求，應(yīng)該可以免除責(zé)任。
但對(duì)于運(yùn)營(yíng)商來(lái)說(shuō)，那些偏門冷怪的業(yè)務(wù)帶來(lái)的收益并不大，但是如僵尸般存活在系統(tǒng)中，實(shí)際帶來(lái)的風(fēng)險(xiǎn)無(wú)人管，這才是最應(yīng)該反思的！
作者微信號(hào)：尚儒客棧（CMCC-ningyu）
聯(lián)系客服
