由买买提看人间百态

boards

本页内容为未名空间相应帖子的节选和存档,一周内的贴子最多显示50字,超过一周显示500字 访问原贴
Military版 - Re: “截获短信验证码”盗刷案多地出现zt
相关主题
国内的金融体系太烂上海财大毕业生抢劫银行
受到打压,华为将鸿蒙系统用在手机上?上海财大山东籍毕业生银行抢劫落网
请问将军们用18位的老身份证能网上买高铁票么中国籍留学生因在日本盗刷信用卡被逮捕
陌生电话你们不要接苏州夫妇因航班延误在香港机场推倒警员被拘
香港色魔在深圳奸9女童判死 受害者家属促正法心理极为变态男子猥亵男童 花季少年夭折春天 (转载)
香港男子在深圳先后强奸9名女童被判死刑现在国内工资真是高
李守祥又一个血气方刚的汉子!太弱,四川特警阻止插队被一刀捅倒在地
公安部打拐1号督办案细节披露:儿童遭多次转卖胖子拿叶家开刀了?
相关话题的讨论汇总
话题: 短信话题: gsm话题: 2g话题: 验证码话题: 盗刷
进入Military版参与讨论
1 (共1页)
g**1
发帖数: 10330
1
“截获短信验证码”盗刷案多地出现:利用2G网络缺陷难防范
分享到:1365
2018-08-04 15:28:00字号:A- A A+来源:澎湃新闻
关键字: 短信验证码盗刷2G网络网络缺陷
据澎湃新闻8月4日报道,“几条奇怪的短信,半辈子的积蓄没了。”日前,一种名为“
GSM劫持+短信嗅探技术”的新型犯罪手段引起关注。郑州、南京、广州等多地警方发布
通报称,有人早上起床后发现手机收到很多验证码和银行扣款短信,有的网上银行APP
登录账号和密码被篡改,在毫无察觉的情况下,银行账户被盗刷。
据南京江宁警方官博8月2日通报,不同于传统的伪基站只发诈骗短信的方法,此类新型
伪基站诈骗使用的方法是利用GSM(2G网络)设计缺陷,能实现不接触目标手机而获得
目标手机所接收到的验证短信的目的,对于普通用户来说基本上是无法防范,“比较稳
妥的办法是关闭手机的移动信号,只使用家中或者办公室的WIFI。”
此前,全国信息安全标准化技术委员会秘书处发布《网络安全事件指南——应对截获短
信验证码实施网络身份假冒攻击的技术指引》,指出此类犯罪方式危害互联网生态安全
,建议各移动应用、网站服务提供商优化用户身份验证措施,选用一种或采用多种方式
组合,比如通过短信上行验证、语音通话传输验证码、常用设备绑定、生物特征识别、
动态选择身份等验证方式,加强安全性。
警方缴获的涉案物品 图自澎湃新闻
新技术可“隔空”截获验证短信,被诈骗黑产利用
8月2日下午,南京江宁公安分局官方微博发布消息称,一种名为“GSM劫持+短信嗅探技
术”的犯罪手法是近两年来出现的新型伪基站犯罪手段,多地警方已经有所发现。“不
同于传统的伪基站只给你发诈骗短信的方法,这种新型手法实现不接触目标手机而获得
目标手机所接收到的验证短信的目的。”
该消息还称,更危险的新技术则是重新定向手机信号,同时使用GSM中间人方法劫持验
证短信,此类劫持和嗅探并不仅限于GSM手机,包括LTE,CDMA类的4G手机也会受到相应
威胁。此技术在2016年后逐步被诈骗等黑色产业注意到并迅速将其用于实际操作。”
手机长期处于2G状态时,要格外小心
那么,什么是“GSM劫持+短信嗅探技术”?
据新快报7月27日消息,广州警方介绍,GMS是俗称的2G信号,利用上述技术可实时获取
使用2G信号的用户手机短信内容,进而利用各大银行、网站、移动支付APP存在的技术
漏洞和缺陷,实现信息窃取、资金盗刷和网络诈骗等犯罪。“有条件的嫌疑人也会用干
扰器将信号降至2G,这时他们就有了可乘之机。因此,如果市民手机信号长时间处于2G
状态时,要格外小心。”
另据广州日报消息,骗子通过特种设备自动搜索附近的手机号码,拦截如运营商、银行
发送的短信,劫持对象主要针对2G信号(GSM信号),窃取短信信息后通过登录一些网
站,从中碰撞机主身份信息,称之为“撞库”(即多个数据库之间碰撞),试图将机主
的身份信息匹配出来,包括身份证、银行卡号、手机号、验证码等信息,继而在一些小
众的便捷支付平台开通账号并绑定事主银行卡,冒充事主消费或套现,盗取事主银行卡
资金。据悉,该团伙大多选择凌晨作案,无需直接与事主接触,因此大部分事主无法及
时察觉资金被盗。
采集方圆500米移动手机号码,有验证短信就实施盗刷
截至今年8月,广州、南京、郑州警方已陆续破获多起此类案件。
根据公开报道,广州市增城警方破获的一起案件中,犯罪团伙部分人员以无线电爱好者
或电子通信设备“发烧友”为主,负责制造、销售该类特种设备;还有部分嫌疑人负责
利用公民个人信息实现盗刷套现。
而在2018年6月郑州市公安局丰产路分局破获的一起案件中,犯罪嫌疑人万某交代“2G
短信采集设备”是由电源(银色金属方盒)、手机号码采集器、一根黑色天线组成,某
品牌手机来接受采集到的号码。“2G嗅探设备”是由黄色木盒(内置7个来拦截附近短
信的某c118主板)、一台笔记本电脑,笔记本上面插有一个U盘装置的嗅探系统组成。
万某还交代,他检测到附近有针对的移动用户后,用手机测试采集到附近方圆500米的
移动手机号码,看看哪个手机号码来短信,从而盗刷这个手机机主的银行卡和信用卡的
钱。
缺陷由GSM设计造成,修复难度大、成本高
实际上,早在2018年2月11日,全国信息安全标准化技术委员会秘书处曾发布《网络安
全事件指南——应对截获短信验证码实施网络身份假冒攻击的技术指引》(下简称《技
术指引》),指出由于GSM网络(2G网络)存在单向鉴权和短信内容无加密传输等局限
性,且短信截获攻击呈现工具化和自动化趋势,“基于短信验证码实现身份验证的安全
风险显著增加。”
该指南指出,此类攻击主要利用了短信验证码在用户身份验证方面存在的安全缺陷,“
该缺陷由GSM设计造成,且GSM网络覆盖范围广,因此修复难度大、成本高。”而由于短
信验证码技术被广泛用于各类移动应用、网站服务的身份验证,短信截获攻击手段一旦
被大规模利用,可能导致基于短信验证码实现身份认证的技术失效,造成公民财产损失
,危害互联网生态安全。
《技术指南》建议各移动应用、网站服务提供商优化用户身份验证措施,选用一种或采
用多种方式组合,比如通过短信上行验证、语音通话传输验证码、常用设备绑定、生物
特征识别、动态选择身份等验证方式,加强安全性。
普通用户基本无法防范,警方呼吁运营商尽快解决
那么,如何防范此类犯罪?
江宁公安官博于8月2日发布的通报显示,此类新型伪基站诈骗“对于普通用户来说基本
上是无法防范的,也给警方的侦破工作带来了很大的挑战,因为涉及到的网站APP银行
极其众多”。
同时,江宁公安消息称,大家不必过于担忧,GSM协议的问题系统换代升级也在进行中
。目前绝大多数支付类、银行类app除了短信验证码往往还有图片验证,语音验证,人
脸验证,指纹验证等等诸多二次验证机制,如果单单泄露验证码,问题是不大的。绝大
多数中招的用户是因为同时泄露了身份证号等其他重要身份信。“GSM劫持防不了,其
他信息泄露还是可防的。”
江宁公安建议,由于手机会接收到一些信息,有的防范策略是晚上关机或者开启飞行模
式,而实际上这样做的意义并不大,因为有的手机可能被劫持后本身已经无法接收到短
信。较为明显的被攻击特征除了接收短信外,还有手机信号可能在4G和2G之间切换。而
一旦你晚上关机或者开启飞行模式,也可能导致其他诈骗风险的上升或者重要事件时亲
友无法联系你。“所以比较稳妥的办法是关闭手机的移动信号,只使用家中或者办公室
的WIFI,这样既能保持和大家的网络联系,也能略微提高被嗅探的难度。如遭遇此类诈
骗务必立刻报警,保留好短信内容。”
同时,江宁公安呼吁各大运营商和通信管理部门尽快采取有效技术手段,尽快解决此问
题。一些安全机制不完善的银行和金融类app可以考虑采用其他双向验证辅助手段提高
安全效率。
记者 宋蒋萱 实习生 孟佳娴
T*********s
发帖数: 20444
2
厉害国厉害了
m*********w
发帖数: 376
3
钱被偷走了,先进的微信支付宝会赔偿损失吗?
F**********y
发帖数: 936
4
这都破获不了的话,这些公安是干啥的?废物吗?
Z*****8
发帖数: 1
5
这是厉害国原创吗?被盗刷的只能傻逼了吧,共产党根本不会允许告银行网站移动支付
p*a
发帖数: 7676
6
手机支付SB了。
c****3
发帖数: 10787
7
用APP的手机支付不安全
m**********e
发帖数: 12525
8
祖国早彻底破解了手机短信:
硬创公开课
如何利用 LTE/4G 伪基站+GSM 中间人攻击攻破所有短信验证
https://www.leiphone.com/news/201612/IP3S4Z9Z8VwLbfPr.html#
1 (共1页)
进入Military版参与讨论
相关主题
胖子拿叶家开刀了?香港色魔在深圳奸9女童判死 受害者家属促正法
台湾团伙西安疯狂盗刷银行卡香港男子在深圳先后强奸9名女童被判死刑
哈尔滨女子一家四口在家遇害 丈夫在异地自杀李守祥又一个血气方刚的汉子!
哈尔滨一家四口被杀案嫌犯自缢身亡,生前与二婚妻子矛盾激化公安部打拐1号督办案细节披露:儿童遭多次转卖
国内的金融体系太烂上海财大毕业生抢劫银行
受到打压,华为将鸿蒙系统用在手机上?上海财大山东籍毕业生银行抢劫落网
请问将军们用18位的老身份证能网上买高铁票么中国籍留学生因在日本盗刷信用卡被逮捕
陌生电话你们不要接苏州夫妇因航班延误在香港机场推倒警员被拘
相关话题的讨论汇总
话题: 短信话题: gsm话题: 2g话题: 验证码话题: 盗刷