短信驗證碼漏洞多風險大怎么解決

　　物联中国

　　日期： 15:40:20来源：物联中国 点击：505次 核心提示：短信验证码漏洞多风险大 怎样解决 本报 许晴

　　《人民》（ 2018年08月16日14版）

　　8月14日，深圳龙岗警方宣布打掉一个新型盗刷银行卡犯罪团伙，抓获10名嫌疑人，查缴伪基站等电子设备6套，带破同类案件50余宗，涉案金额逾百万元据专家分析，嫌疑人通过“GSM劫持+短信嗅探”技术截获受害人短信验证码，从而完成盗刷等操作截至目前，这是全国该类案件中打掉涉案人数最多、金额最大的一起

　　“基于短信验证码实现身份验证的安全风险显著增加”全国信息安全标准化技术委员会在《络安全实践指南——应对截获短信验证码实行络身份假冒攻击的技术指引》中指出

　　友遇怪事

　　梦中收短信 银被盗刷

　　7月 0日清晨5点，从梦中醒来的友“独钓寒江雪”发现了一件怪事：“一直在震，一看，接收了100多条验证码，支付宝、京东、银行甚么都有吓得一下子清醒，去看支付宝，余额宝、余额和关联银行卡的钱都被转走了京东开了金条、白条功能，借走1万多元”

　　人在睡梦中，在身旁是谁远程偷看了短信验证码，还利用短信验证码完成了转账购物借贷等操作据了解，这是不法分子通过“GSM劫持+短信嗅探”技术，实时获取用户短信内容，盗取用户信息，盗刷用户账户

　　“不法分子先使用伪基站获得用户号，再通过上泄漏的数据库，根据号码反查用户的姓名、身份证号、银行账号等信息然后在某些站启动注册或交易，并利用和用户位置相近的特点盗取用户短信验证码”北京大学信息科学技术学院副教授陈江说

　　有业内人士形容，嗅探硬件“小的跟差不多，大得像行李箱，最低本钱只用花一顿必胜客的钱”腾讯守护者计划安全专家周正介绍，目前绝大多数移动互联服务都采用以号和短信验证为基础的识别策略，但国内GSM的语音和短信业务鉴权和加密性偏弱犯罪分子使用定制化、本钱低、易携带的嗅探系统，获取受害人的号和短信验证码，进而实施犯法

　　此前已有多地出现“GSM劫持+短信嗅探”盗刷案件2017年底至2018年8月，腾讯守护者计划安全团队协助北京、福建、广东等地警方打击此类犯法团伙5个，抓获犯罪嫌疑人25人

　　短信漏洞多

　　身份可假装 内容易泄漏

　　注册新账号，需要短信验证码；忘记密码又想登录站，需要短信验证码；在上转账提现，需要短信验证码……当前，使用短信验证码验证用户身份的技术，被广泛应用于各类移动应用和站服务

　　陈江说：“短信验证码虽然方便高效、容易普及使用，但存在‘是不是用户本人使用本人完成验证操作’这样的漏洞，给不法分子伪装受害者提供了机会”

　　“短信验证码是账号安全的核心，承当着实名认证的任务，是保证资金安全的一把密匙，但目前的关注程度还不高”中国政法大学传播法研究中心副主任朱巍说

　　通过短信验证码登录账号后，不法分子可以获取用户的快递地址、消费记录、通讯录等隐私信息，还可以通过“撞库”“社工”等方式，“集齐”用户的姓名、身份证、银行卡号，实行资金盗刷、电信诈骗、敲诈勒索等活动

　　除了被“偷窥”，泄漏短信验证码的途径还有很多有的用户点击了非法链接，被安装监听木马；有的不法分子伪装银行客服，直接索取验证码内容；还有运营商内鬼主动泄露，里外勾结另外，短信云同步、自动填写验证码等功能的初衷虽是方便用户，却也可能被不法分子利用

　　安全待升级

　　改发送方式 加生物识别

　　“改变短信设置，使用VoLTE技术（基于4G的语音传输技术），改用4G络传输短信”“关闭蜂窝功能，改用无线络”“晚上睡觉时关闭或调剂到飞行模式”……为了避免短信验证码被“偷窥”，很多媒体和热心用户给出了解决方案

　　但是，这些方案并不能一劳永逸比如，就算改用4G传输短信，不法分子也可能在4G络薄弱的地区“监听”，或用特殊手段把短信“逼”上不够安全的2G通道

　　全国信息安全标准化技术委员会建议，络平台可以要求用户主动发送短信用以验证身份，使用语音通话传输验证码，将用户常用装备和账号绑定，采取指纹识别、人脸辨认等生物特征辨认技术，同时随机选择多种方式进行验证

　　“用户传输敏感隐私信息时，应选择安全性相对高的通信软件，发现信号模式异常时应及时更换络环境络平台应增加多维度动态验证机制，对账号异常行为进行强校验，采用生物特征辨认技术运营商应提高4G络覆盖率和稳定性，推动VoLTE等高清数据传输方式的普及”周正建议

　　“第三方支付机构要注意资金安全，发现异常及时停止服务，避免用户损失同时，第三方支付也要和银行展开配合，构成立体化风控体系”朱巍说

　　出处：物联中国 慎重声明：本文仅代表作者个人观点，与物联中国()无关其原创性和文中陈说文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，请读者仅作参考，并请自行核实相关内容