【重要】一部手機失竊而揭露的黑色產業鏈—完整修訂版

點擊上方藍色字體，關注我 ——

一個在阿里雲打工的清華學渣!

圖 by：石頭朋友圈的趙學弟@清華

文章來源：信息安全老駱駝，石頭經受權轉載

背景

你們好，以前網上的這篇文章《一部手機失竊而揭露的竊取我的信息實現資金盜取的黑色產業鏈》引發了你們極大的關注，若是你還沒看到過，正好能夠看看這篇，你們必定要引發重視。

原做者老駱駝交代因爲以前事發忽然，文章寫得倉促，裏面的分析也有草率不許確的地方，因此原文已經被刪了（早於 10.13 號的各大媒體和公衆號轉載的都不是最新的）。爲了不給你們傳導錯誤的信息，對原文按照目前最新分析獲得的結論從新整理一下，刪掉部分廢話和已證明當初推論不正確的內容。

同時老駱駝也但願讓你們知道，這個事件確屬個案，事件涉及的機構也已對關鍵環節作出了有效的調整和應對，在打擊金融犯罪方面，相關監管部門也是很是重視，咱們也沒必要過分恐慌。

01.手機被盜當天（9月4日）

  19:30 手機在小區門口的水果店被盜，家人撥打手機對方接通一次後立馬關機了。本身抱着一絲僥倖的心理，僅僅只是使用了「查找個人手機」裏的鎖定設備功能，想着經過手機定位嘗試可否找回手機， 沒有第一時間掛失（若是當時當即掛失手機卡，後面的事情根本也就不會發生了）。

20:51 對方把卡取出來放在其餘手機，利用短信驗證碼從某個APP上獲取到 身份證、銀行卡號信息；同時用獲取的信息修改了電信服務密碼、華爲雲密碼。（後期經過分析短信詳單得知）

21:24 家人發現被偷手機能夠撥通，隨後個人手機收到提示手機在成華區上線了，但很快手機關聯的華爲帳號被解除，這一步如今來看，對方應該是使用了華爲的數據抹除功能，並從新用華爲帳號登陸手機並解綁。

意識到對方不是普通的偷手機，我 馬上致電10000號掛失手機卡，但此時電信服務密碼已經不正確了，經過驗證身份證號碼加提供上個月聯繫過的三個電話號碼進行了掛失。 開始採起緊急措施，經過手機銀行轉移活期餘額，聯繫多家銀行凍結信用卡，把支付寶、微信上的資金轉走，綁定的信用卡全刪掉。

21:48 家人說電話還能夠打通，再次致電10000號，詢問爲何沒有掛失，回覆說卡是正常狀態，因而 要求繼續掛失。

21:55 越想越不對勁，第一次掛失後本身是打電話確認了沒法接通的。又致電10000號，詢問以前掛失失敗的緣由是什麼。獲得答覆，第一次掛失是成功了的，但後面又被 解掛了。這一點本身確實是沒想到的， 掛失後還能夠憑服務密碼或者身份信息和通話記錄進行解掛。（如今四川電信已經對這個業務流程作出了調整）

根據銀聯雲閃付上的綁卡信息，繼續給銀行電話，挨個凍結儲蓄卡，ETC信用卡由於未綁定在APP上，自信的認爲對方無信用卡CVV等信息確定盜刷不了，且次日要出行上高速，就沒去管了。有兩張銀行卡由於辦理時間較早，卡也丟失了，就給漏下了。（後續的盜刷基本就都集中在這幾張卡上，反面教材警示）

 

00:23 ，發現支付寶被擠下線，登陸的設備和丟失的手機型號一致。我這邊當即申請 凍結支付寶、微信，接着登錄京東，蘇寧、國美等經常使用的APP，更換關聯手機號碼。沒過一會，個人手機就收到一條京東的短信驗證碼，感受後面幾個APP應該是保住了（蜜汁自信，最後仍是被打臉）。（石頭哥在此也提醒你們，特別要注意本身的我的隱私安全等方面的問題，後續石頭也會在公衆號 「程序猿石頭」 上給你們分享關於我的隱私信息保護方面的經驗和技巧，感興趣的同窗請關注。 ）

實際上後面查短信詳單後發現，手機卡在22:00開始就陸續收到支付寶、微信等支付APP和各家銀行的短信，這裏推測對方在哪一個時間段在各個平臺註冊新帳號。

 

後面一夜就是循環的 我掛失、對方解掛，在10000號上來來回回幾十次（對方有手機卡、有服務密碼。目前四川電信這一塊業務已進行了調整，再也不支持這樣的屢次電話掛失、解掛）。

 

5:00 左右發現才注意到網廳有關閉短信的業務，嘗試着把短信功能關閉了。（後面查短信詳單時發現，正是 關閉短信功能這個操做，中斷了他們後續的犯罪行爲，否則損失確定更嚴重，也慶幸對方沒注意到個人這個操做）

以前石頭哥的手機也被「摸包客」偷過，如今想一想後背發涼，瑟瑟發抖 。

02. 手機補卡、清點損失、分析過程（9月5日）

9:00，蹲守電信營業廳開門，9點8分完成補卡，但發現補回的手機卡被辦理了呼叫轉移業務，目前暫時還不知道對方這個操做的目的是什麼。經過10000號把呼叫轉移關閉了。

開始清點損失，找回各個支付平臺的帳號，發現除了支付寶手機號被改了，並無其餘異常記錄。

22:00 仍是不放心，當天晚上再次覈對時意外操做發現對方用偷到的手機號新建了一個支付寶，還綁定了那張被咱們遺忘的建行卡，以及一張ETC信用卡（這張卡開通後未在其餘地方使用過），並且帳單裏有充值消費記錄，以及支付寶的充值退回記錄。

登錄建行網銀，發現9月5日凌晨4點多美團轉進一筆 5000元的記錄，再看ETC信用卡有各類買卡、充值的記錄，銀聯轉帳記錄，一開始擔憂的被申請貸款，雖然想到了但仍是沒防好。

下載了短信和通話詳單，開始仔細分析通話和短信記錄。回憶從頭至尾的細節，逐個分析對方的做案流程，過程太繁瑣這裏我直接給出分析結果：

1. 獲取身份信息修改了運營商服務密碼

2. 短信驗證碼修改華爲密碼

3. 經過刷機或者抹掉數據的方式進入手機

4. 用掌握的身份信息註冊支付平臺新帳號

5. 經過支付平臺使用受害者原帳號申請貸款

6. 經過線上、線下完成消費

附加對這個過程的幾點說明：

1. 獲取身份信息的途徑在9月7日的再次分析後才確認；

2. 目前新版本的華爲，未找到有繞過鎖屏密碼的漏洞，經過後期的分析推測對方更多是經過抹掉數據後進入手機重裝支付APP，由於這樣更快捷。也只有進入原手機，才能繞過支付公司的風控規則作一些其餘的操做。

3. 根據其餘相同遭遇網友的留言，在第五步申請貸款部分，有的是經過花唄，有的是經過白條，只是由於我發現對方支付寶把我擠下線後第一時間凍結支付寶，京東帳號由於實名信息用的我本身的，所以這兩部分沒有遭受損失。

4. 以支付寶爲例，子帳號要開通花唄，能夠經過向主帳號發送申請來開通，因此對方須要登錄我原來的支付寶帳號。

整理完全部的信息後，已經凌晨兩三點了，雖然很晚了但仍是嘗試着挨家支付機構打電話聯繫告知被盜刷。銀聯雲閃付客服態度極好，給他們報了損失金額，告知咱們次日會有專人聯繫處理後續事情。準備好一些材料，包括 通話、短信記錄、銀行帳單，以及其餘零散資料，由於當天離開了成都，只能次日趕回去報警。

03. 派出所報案，再次分析過程（9月6日）

8:00 一早趕忙往成都趕。路上雲閃付主動聯繫咱們告訴咱們昨晚提交的損失報少了，並讓咱們報警後提供報案回執單等一些材料提交過去，看樣子有可能要賠付，安心了很多。

派出所民警據說了咱們的遭遇 都表示驚奇，說以前從沒遇到過這種偷手機的，站在以往常規案例的經驗，懷疑是否咱們 泄露了身份證照片之類的致使的。我應該是第一個來這個派出所報這種案件的，對於派出所民警的反應實際上是能夠理解的，包括本身的家人也有在警察隊伍的，也表示沒據說過相似的案件。

晚上在電腦前繼續回想全部細節，把整個過程串一遍，必要時用本身的APP和帳號進行實驗，驗證本身的分析判斷。雖然補了手機卡，銀行卡都凍結了，帶支付功能的軟件都找回來各類修改密碼了，但總以爲哪裏就是不對勁。

忽然又收到了財付通的支付驗證碼請求，再關聯起前面的幾個可疑點，能夠肯定的是： 還有其餘支付帳號綁了個人銀行卡，既然前面對方用支付寶建立了小號，其餘平臺上就大機率還有。

挨個APP檢查，發現用咱們的手機號碼新建了支付寶、蘇寧、京東且包含有消費記錄，這個操做隱蔽性強，若是咱們沒發現的話，解凍了銀行卡，他們還能夠用本身建立的支付帳號進行一些小額消費。 （ 石頭哥也 再 次 提 醒 你們，來歷不明的網站別輕易泄露本身的我的信息，也許你一個不經意在微信裏面統一受權了什麼信息，網站後臺還不知道會拿你的我的信息去幹嘛呢。 後續石頭也 會 在 公衆號  「程序猿石 頭 」   上給你們分享 關 於我的隱私信息保護方面的經驗和技巧，感興趣的同窗請關注。 ）

但也有用他們 本身手機號碼+個人身份信息建立的帳號， 好比微信，我只能收到支付短信但沒法登錄對方帳號進行銀行卡解綁。後面是本身挨家登錄銀行的網銀、手機銀行，在快捷支付菜單裏進行查詢和關閉的。

再次分析時發現對方若是要順暢的執行完這一連串的操做，須要拿到手機主人的身份證信息，經過分析短信接收記錄成功定位到對方的獲取途徑。（目前對應問題已修復，這裏不描述細節內容）

04. 整個事件分析總結

在這一系列過程當中，犯罪團伙的特色：

1. 全程用的都是正常的業務操做，只是把各個機構的「弱驗證」的相關業務連接起來，造成巨大的破壞；

2. 團隊分工協做，有成熟的做案腳本（後臺網友留言也證明了這一點，而且關鍵環節是有多個備用方案的）。

分析完犯罪團伙，再來看下涉及的各個相關機構的「弱點」環節，實際上任何一家機構在過程當中所涉及的業務，在不關聯在一塊兒的角度上看，都是小問題甚至不算問題：

1. 四川電信：電話掛失和解掛的業務未考慮到手機被盜後身份信息泄露的狀況，（四川電信目前也已經對這一環節進行了調整）；

2. 支付機構，每家支付機構都有本身的風險控制策略，部分風控策略對我這種狀況沒有識別並加強驗證；實際上若是犯罪分子是經過抹掉數據或者刷機進入的手機，不管是 android 仍是蘋果手機，相比正常使用的狀況下，手機是有一些特徵能夠定位並應用到風控策略的，檢測到這種異常的狀況下能夠在登陸、密碼重置等關鍵步驟就經過加強的身份驗證，例如關鍵步驟採用人臉識別技術，能夠起到阻斷的效果。

3. 涉及身份信息泄露的移動APP，主要是密碼找回功能對短信驗證碼過分依賴，缺少其餘要素驗證，其次就是涉及金融的敏感信息的保護不足，目前這個問題也已經進行了修復。但這一塊也是我目前最擔憂的，互聯網上以手機短信驗證碼可進行登陸並查看身份信息的網站和APP仍是比較多。

4. 美團貸款這塊，一開始我覺得美團是缺失貸款的人臉驗證，後面上網查其餘網友的經歷，發現貸款申請是有須要人臉識別驗證的狀況。應該是風險檢測這塊檢測到設備指紋是經常使用設備，因此就沒要求人臉驗證吧。（石頭哥友情提醒，網貸有風險，不少宣傳的利率其實很高的，關於真實利率計算能夠看看這篇文章，請保持良好徵信）

5. 華爲手機，密碼找回功能過分依賴短信驗證碼，缺少其餘關鍵驗證信息。

目前遺留未肯定的問題：建行銀行卡卡號對方從何處獲取的？

全部支付公司都綁定了建設銀行的卡，其餘支付公司多是經過快捷綁卡完成的， 但云閃付的快捷綁卡列表上沒有建設銀行，也經過雲閃付了解到對方是直接輸入卡號完成綁卡的。

一開始未注意到「快捷綁卡」這個功能時，一度覺得是建設銀行泄露了個人卡號，但本身測試了客服電話、網銀、手機銀行、微信公衆號，都沒有發如今盜取到手機和身份信息後可直接查看的地方。

後面甚至對建設銀行的快捷綁卡頁面作了技術檢測，發現整個過程沒有使用明文卡號，後臺請求中表明卡號的參數都是加密的。只能說銀行在我的信息保護、風險控制這塊更加的嚴格，雖然動不動不少業務要去櫃面辦理，但直接保證了你的資金安全（個人損失鍋其實不在銀行，走快捷支付時資金安全只能依賴對應的支付公司了）。

說完他們，最後再來講說本身，心存僥倖未第一時間掛失手機卡、掛失銀行卡時沒找齊全部卡，這些都給犯罪分子留下了機會。但經過這幾天的經歷，無論中間情節有多少起伏，我做爲一個有10多年信息安全從業經驗的老駱駝，都要被折騰成這樣，我實在是不想讓你們有跟我相同的經歷。

提幾個我我的認爲比較 簡單有效的防禦措施（石頭哥提醒你們沒作的，趕忙作一下，不怕一萬，就怕萬一）：

1. 給本身的手機sim卡上個密碼

2. 給手機設置屏幕鎖

3. 確保手機鎖屏狀態下來短信沒法看到短信驗證碼內容

經過上面的措施就算手機丟了未能及時發現和掛失也不用擔憂別人拔下卡插其餘手機裏繼續使用。

以華爲手機爲例：設置-安全-更多安全設置-加密和憑據-設置卡鎖，選定手機卡，啓用密碼（此時使用的爲默認密碼1234或者0000），再選擇修改密碼，輸入原密碼1234，再輸入兩次新密碼，完成sim卡的密碼設置。

要注意的是設置了sim密碼後手機重啓或者把卡換到新手機上都須要先輸入sim卡密碼後再輸入鎖屏密碼，若是sim卡密碼輸入錯誤3次，就會要求輸入puk碼才能解鎖，這時別再亂輸，請聯繫運營商或者puk碼進行解鎖，不然10次錯誤後手機卡會失效必須去營業廳換卡。其餘各型號手機的設置方法建議你們直接百度搜索。

案件發生後也有支付機構主動聯繫了我，對過程和細節問題進行了分析和討論，借用風控專家的話：「其實你這個事情是個好事，在這種新型犯罪大量爆發前用較低的代價讓你們都重視和關注起來，各機構採起有效的措施，避免後面形成更大損失後纔去‘救火’的局面」。

第一篇文章發佈後，有可疑號碼打我電話進行囂張的漫罵，只能送大家一句：「法網恢恢，疏而不漏！」

常見問題解答

回答廣大網友比較關注的幾個問題：

1. 相比 Android 手機，若是使用的是蘋果手機遇到相同的狀況，是否是更安全一些？

犯罪分子目的是手機卡，固然抹除數據或者刷機後進入原手機也是其避開支付軟件風險控制策略的一個手段。但蘋果手機若是在可越獄的版本下，也是能夠經過隱藏ID的方式刷機後進入再安裝APP進行操做。因此「哪一種手機更安全」能夠忽視，設置sim卡密碼纔是關鍵。

2. 事件的後續進展？

我我的的損失都已追回。四川電信修改了電話掛失、解掛的業務規則；文中身份信息泄露來源的APP也進行了對應安全升級；支付機構也積極聯繫了我，探討如何增強這方面的安全防禦；

3. 以前的文章爲什麼刪除？

本來只是爲了分享給小區業主的警示文，但習慣了「技術漏洞分析報告」的風格，不少沒必要要寫的東西寫得太細，加上第一篇文章當時不少推測是有誤的；因爲網上如今一大堆對以前文章的轉載，仍是但願把事情說清楚更嚴謹一些，不要給你們形成誤會和恐慌，因此從新整理後上線了這篇文章。

後記

信息安全問題真的不容忽視，文中提到的點，你們趕忙操做起來，無論大家信不信，反正石頭是信了。這篇文章的內容石頭以爲至關重要呀，必定要有安全意識，你們趕忙轉給周圍的親戚朋友吧。

以爲本號分享的文章有價值，記得添加星標哦。周更很累，不要白 piao，須要來點正反饋，安排個 「一鍵三連」（點贊、在看、分享）如何？😝 這將是我持續輸出優質文章的最強動力。

推 薦 閱 讀

快快加入咱們——「阿里雲-ECS/神龍計算平臺」 招人啦
面試官：會玩牌吧？給我講講洗牌算法和它的應用場景吧！

面了 7 輪 Google，最終仍是逃不脫被掛的命運

從一道面試題談談一線大廠碼農應該具有的基本能力

互聯網大廠內推求職的正確姿式？

給 JDK 報了一個  P4 的 Bug，結果竟然……

程序猿石頭 

程序猿石頭(ID: tangleithu)，現任阿里巴巴技術專家，清華學渣，前大疆後端 Leader。用不一樣的視角分享高質量技術文章，以每篇文章都讓人有收穫爲目的，歡迎關注，交流和指導！掃碼回覆關鍵字 「1024」 獲取程序員大廠面試指南。

本文分享自微信公衆號 - 程序猿石頭（tangleithu）。
若有侵權，請聯繫 support@oschina.cn 刪除。
本文參與「OSC源創計劃」，歡迎正在閱讀的你也加入，一塊兒分享。