最近,一篇名为《实录 | 亲历网络诈骗,互联网是如何让我生无分文?》的文章在网络广为传播。 作者表示,他莫名其妙地收到一条“订阅增值业务”的短信,根据提示回复了“取消+验证码”之后,自己的漫长的噩梦就此开启:
而损失巨大的作者到最后也没有完全明白自己的钱究竟是怎样被黑客盗取的。 作为爱和正义的守护者,雷锋网义不容辞,特地采访到腾讯手机管家安全专家陆兆华大牛,详细解析一下这个诈骗过程中每一步的技术细节。现在请各位童鞋系好安全带,老司机要带你上路了。 核弹引信——验证码作者的噩梦开始于拥挤的地铁车厢里。
正在他纳闷且愤怒的时候,来源为“10658139013816280086”的号码发来了一条 短信:
至此,所有的证据都指向“万恶的”中国移动。看客们一定认为中国移动又在欺负无辜的消费者,私自为客户订阅了垃圾增值服务。没错,受害者本人也是这么想的。此时,作者的内心大概是:“这SB又给我瞎定什么业务?还需要40元/半年,什么鬼?”不过,他马上注意到,短信上这个服务是可以被退订的。“中国移动还算有操守“他一边这样想,一边收到了“10086”发来的又一条短信:“尊敬的客户,您的USIM卡6位验证码为******”。一心只想快点退订这个破业务的作者压根就没注意什么叫“USIM卡验证码”,直接回复了“取消+******(验证码)”。 【受害者不知情,把更改USIM卡的验证码发给了骗子】 从收到第一条短信,到作者回复验证码,地铁也许还没有行进一站,一切都看起来都是那么平常。但是,一个巨大的阴谋已经把他拖进了深渊。。。 让我们看看这串眼花缭乱的短信背后究竟发生了什么:
究竟谁是“你”?如果突然有一天,你看到了一个和你一模一样的人,他辩称自己就是你,甚至知道你的所有个人信息,认识你的所有朋友,那么,究竟“你”是你,还是“他”是你呢?
我们来继续讲述这个悲伤的故事。 果然,不久作者就发现自己的手机失去了信号。(此刻他的手机卡已经失效,而骗子手中的空白卡已经生效)他以为自己由于被恶意扣费,导致了停机,于是打算回到家再进行处理。但是,到家之后作者发现,竟然连中国移动的客服电话“10086”都无法拨通,甚至更换手机也没有信号。但是,此刻手机仍然能接收Wi-Fi信号。“噩耗”就是通过Wi-Fi传来的。 支付宝突然弹窗,出现两条消费提醒:一笔为“5元的游戏币充值”;一笔为小额的转账“从余额宝转账到绑定的招商银行”。自此,雪片般的转账信息倾泻而出。 【支付宝的转账信息】 大部分的操作都是将支付宝中的余额分批次转到银行卡。作者的第一反应是给支付宝客服打电话冻结自己的账户,但是,他绝望地发现自己的手机仍然没信号。此刻家里没有其他人,在短暂的空白之后,作者终于想到了要解绑银行卡。然而,资金被转出的速度太快。当作者解绑银行卡之后,账户中的资金已经所剩无几。不过,此时骗子已经没有办法把钱转到银行卡中了,于是竟然丧性病狂地用最后一百多块钱给一个手机号码充了值。(作者调查这个号码时,它已停机) 当然,整件事情还没有结束,不过,我们先暂停一下,看看截至目前,骗子究竟是怎样做到的:
这个时候,理论上资金还没有离开作者的掌控,只是从支付宝到了银行卡。于是他紧急登陆自己的网银,却惊奇地发现网银的密码已经被篡改,从而无法登陆。此刻他竟然无法掌握自己的账户信息,任凭坏人摆布。这时他挽回损失的唯一方法就是挂失银行卡。由于手机没有信号,他紧急联系女友代为进行银行挂失。由于支付宝连接了好几张银行卡,用电话挂失还要听完银行自助语音的无数废话,完成挂失用去了比预想中更长的时间。当所有的银行卡都被挂失之后,作者已经完成了他所能做的一切。 第二天,作者去银行打印流水的时候,才发现自己的所有银行卡上的所有资金都已经被转走,一分不剩。直到这一天晚上,他才发现原来自己的163邮箱密码也被更改。 【骗子利用受害者的邮箱在异地安装了支付宝的数字证书】 作者怎么也想不明白,丧心病狂的骗子为什么能够修改自己的网银密码呢?
冰冷的结局在银行的转账详单上,作者发现了犯罪分子的资金转移轨迹,他们把作者的钱从不同的银行卡归集到一张卡上,然后再统一通过该银行网银划走。(骗子这样做的原因很可能是因为某银行管制稍松,可以在短时间内转出大额资金。)另外,作者还在转账详单上发现了数笔从百度钱包转出的资金。也就是说,在诈骗分子用支付宝归集资金的同时,也在用百度钱包做同样的事情。而可怕的是,作者自己都已经卸载了百度钱包很久,甚至忘记了登陆密码。 【百度钱包被骗子用来转移资金】 作者通过调查,已经明白了答案:通过手机号码,可以轻松找回百度钱包的密码,而通过“银行卡信息,姓名,身份证号,手机号,验证码”就可以随意关联新的银行卡到百度钱包。 这件事的冰冷之处不仅在于资金损失殆尽这个结局,还在于当作者报案之后,警察反应迟缓,并且敷衍了事,最终也没有丝毫作为。更在于这其中涉及到的:支付宝、百度钱包、运营商、银行这些巨头们的安全机制都没能挡住一个骗子。 还原一下整个骗局发展的逻辑,可以清晰地看到:骗子通过受害者的手机号,一步步扩大攻击面,掌握了越来越多的个人信息。在网络空间中,一个冰冷的替身通过手机号、验证码、邮箱、身份证号这些“画皮”一步步变成了一个活生生的人。 如果一味埋怨支付宝和银行的验证机制潦草,似乎并不公平。因为综合安全性和易用性,支付宝和银行并不会在你每次修改密码的时候,都要提供身份证原件和本人到场。
对于诈骗过程的条分缕析并不能挽回一分钱的损失,却能让其他人面对同样的骗局时逃过一劫。 我们身处楼宇森林,感觉自己安全无虞; 然而站在0和1组成的赛博空间放眼,这个世界仍处蛮荒。 |