誰來保衛(wèi)我們的銀行卡

張鑫明　張恒　薛田　朱信明　修淼

2016年4月8日，周五的這個傍晚，有一個騙子想“變成”許妙成。

許妙成正在北京地鐵6號線的車廂里，毫無警覺。24歲的許妙成就職于一家投資公司，工作兩年有了3萬多存款。這些錢，分別存在他的3張銀行卡和支付寶賬戶里。無論是支付寶還是銀行卡，都設(shè)有重重安全措施——密碼驗(yàn)證、身份證號驗(yàn)證、郵箱驗(yàn)證等等。即便這些驗(yàn)證統(tǒng)統(tǒng)失效，還有最后也是最關(guān)鍵的一道安全閥門——手機(jī)?，F(xiàn)在幾乎所有的支付、更改賬戶都需要輸入手機(jī)動態(tài)密碼來驗(yàn)證身份。

而手機(jī)，現(xiàn)在正在許妙成的手里。

正如其他銀行卡盜刷案一樣，那個登錄IP顯示在?？谑械尿_子，找到一個突破口，逐步瓦解了許妙成的安全措施?，F(xiàn)在，4月8日17點(diǎn)多，騙子正打算攻破最后一關(guān)，拿到許妙成的手機(jī)，“變成”這個毫不知情的年輕人。

盜刷銀行卡

騙子是人類最古老的行業(yè)之一。只不過，不同階段有不同的特性。以前的騙子更多是騙人，現(xiàn)在，越來越多的騙子試圖騙過機(jī)器，比如騙過銀行的系統(tǒng)。

2016年3月20日晚上9點(diǎn)多，北京媒體人馬月收到兩條短信，是銀行發(fā)來的，提醒他銀行賬戶剛剛有兩筆消費(fèi)，一筆46萬、一筆1萬，消費(fèi)地點(diǎn)是江西省上饒市寶澤樓市場。他的第一反應(yīng)就是打電話掛失，電話里，對方要求他報(bào)上賬戶，并且輸入密碼。

“這個時候我腦子里還留了一個信號，我想萬一這是個偽裝的號呢?！瘪R月本身做互聯(lián)網(wǎng)工作，知道很多詐騙方式，向來謹(jǐn)慎，“各種奇怪的詐騙鏈接，我絕對不會點(diǎn)。剛發(fā)生這個事的時候，我還怕電話已經(jīng)中毒（用朋友的電話打給銀行進(jìn)行掛失）”。

最終證實(shí)，短信是真的，電話是真的，那兩筆消費(fèi)也是真的。確實(shí)有人騙過了銀行，只用了兩分鐘，就劃走了本屬于馬月的47萬。

馬月后來才從銀行處得知，2月份，曾有人在河北查詢自己卡內(nèi)余額。這張卡只是一張借記卡，并未開通網(wǎng)銀功能。他說：“肯定是有人復(fù)制了我的卡?！?/p>

不但復(fù)制了他的卡，還需要掌握卡的密碼。騙子想做到這些，有好多種途徑。他們可以在ATM機(jī)上設(shè)置陷阱，等馬月刷卡時復(fù)制；也可以在消費(fèi)場所偽裝服務(wù)員使用改裝過的POS機(jī)盜刷；銀行內(nèi)部人員泄露客戶信息的事情也曾發(fā)生過，還有一種是在電腦或手機(jī)中植入木馬。

曾有記者在一個盜刷銀行卡的QQ群臥底幾個月，見識到了銀行卡復(fù)制器的威力——只要拿銀行卡在上面刷一下，不出10秒鐘就能讀出包括密碼在內(nèi)的賬戶信息并復(fù)制一張新卡。

販賣機(jī)器、盜取信息、販賣信息、刷卡套現(xiàn)已經(jīng)形成了一條隱秘又完整的產(chǎn)業(yè)鏈。其中每個環(huán)節(jié)都有風(fēng)險(xiǎn)，各做一環(huán)顯然相對安全。買到復(fù)制卡后，取錢的騙子也有一套嚴(yán)密流程，比如購買偏遠(yuǎn)山村村民的身份證用以辦銀行卡，再跨省取錢。

據(jù)中國互聯(lián)網(wǎng)協(xié)會發(fā)布的《中國網(wǎng)民權(quán)益保護(hù)調(diào)查報(bào)告》估算，2015年，因個人信息泄露、垃圾信息、詐騙信息等現(xiàn)象，導(dǎo)致總體經(jīng)濟(jì)損失約805億元。

竊取手機(jī)

毫無疑問，許妙成的個人信息也被泄露了，但并不是銀行卡信息，而是網(wǎng)絡(luò)賬戶。這種信息在網(wǎng)絡(luò)上流傳更廣，與銀行相比，一些商業(yè)網(wǎng)站的安全防護(hù)要薄弱很多。

“我們現(xiàn)在很多詐騙都是由于個人信息被泄露，”手機(jī)安全系統(tǒng)專家葛健說，“除了黑客通過技術(shù)獲取外，平時比如看病、買車、買房、買保險(xiǎn)，填寫的個人信息都有可能通過黑市被販賣出去?！?/p>

個人信息泄露渠道如此之多，以至于許妙成根本就不清楚，騙子是通過何種渠道，拿到自己在移動通信運(yùn)營商官網(wǎng)的賬戶和密碼的，“那個官網(wǎng)我其實(shí)已經(jīng)很多年不登了”。

17點(diǎn)53分，騙子已經(jīng)登錄了他在運(yùn)營商官網(wǎng)的賬戶，點(diǎn)擊了幾個鏈接后，很快就為許妙成訂購了手機(jī)報(bào)的業(yè)務(wù)。系統(tǒng)發(fā)現(xiàn)了這筆訂單，通過官方號碼發(fā)短信反饋給許妙成，但該短信中并未提及該如何退訂這一業(yè)務(wù)。

“我心想，運(yùn)營商怎么莫名其妙給我開了這么一個鬼業(yè)務(wù)。”許妙成說，他經(jīng)常收到這類信息，幾乎條件反射般回復(fù)了“TD”（常用的退訂業(yè)務(wù)代碼），但系統(tǒng)認(rèn)為他的代碼不正確，還給了他一個清單“請回復(fù)括號中的指令訂閱以下手機(jī)報(bào)”。許妙成想到了打客服電話詢問，但在擁擠的地鐵里，他還是決定到家再說。

騙子是不會等的。Ta已經(jīng)有了一個詳細(xì)的計(jì)劃，計(jì)劃的核心是運(yùn)營商官網(wǎng)上“自助激活4G備用卡”的業(yè)務(wù)。這是該運(yùn)營商為了開拓4G市場，讓用戶便捷換卡提供的一項(xiàng)服務(wù)，只要有一張空白的4G卡，點(diǎn)擊在線申請后，系統(tǒng)會下發(fā)一個USIM激活碼到舊卡，在網(wǎng)站填寫激活碼后，便可成功將舊卡作廢，啟用新卡。

如果騙子能夠拿到這個激活碼，成功更換新卡，也就意味著許妙成手里的手機(jī)卡將作廢，所有的來電、短信都會轉(zhuǎn)移到騙子的手機(jī)上去。

人們的手機(jī)短信渠道早已經(jīng)危險(xiǎn)重重，騙子有多種方式可以拿到這個驗(yàn)證碼——可以通過偽基站發(fā)送帶有病毒鏈接的地址，如果許妙成點(diǎn)擊了，就會下載木馬病毒或者含有木馬病毒的App，之后他原本能收到的激活碼短信都會被攔截發(fā)到騙子手機(jī)上；如果騙子和許妙成在同一輛地鐵上，還可以通過特殊設(shè)備，對手機(jī)信號進(jìn)行干擾，攔截激活碼；如果許妙成手機(jī)里的一些App具有短信同步功能，而騙子能夠破解這些賬戶，也可以輕易地獲得這個激活碼。

在所有竊取個人信息的方式里，偽基站是目前最常見的一種，也是技術(shù)最強(qiáng)大的一種。以前還要開車架設(shè)偽基站，現(xiàn)在“偽基站越來越輕便，背一個包就可以帶走”，葛健說，騙子背一個包，專門在人多的地方來回走，或者騎電動車、坐公交車，沿路就會接管輻射范圍內(nèi)的手機(jī)信號，并發(fā)送短信。這些短信都可以偽裝成“10086”“95558”等通信運(yùn)營商或銀行的官方客服號碼，一般都會帶有鏈接。

“而且短信中的網(wǎng)址也特別有迷惑性”，葛健說，比如中國移動官網(wǎng)是10086.cn，偽基站發(fā)過來的鏈接可能用小寫的英文字母“l(fā)”替換掉“1”，變成l0086.cn。

更可怕的漏洞

這次，騙子沒有使用偽基站的方式，而是用個人臨時手機(jī)號給許妙成發(fā)了一條短信：

您好！您已成功訂購手機(jī)報(bào)40元/半年，3分鐘內(nèi)退訂免費(fèi)。如需退訂請編輯短信“取消+驗(yàn)證碼”至本條短信退訂。

因?yàn)橹皠偨邮盏焦俜教柎a發(fā)來的訂立成功短信，許妙成幾乎不假思索就回復(fù)了“取消+驗(yàn)證碼”幾個字。他說：“我甚至都沒有注意到這條短信號碼的可疑?！?/p>

騙子收到了許妙成的回復(fù)，并體會到他取消訂閱的急迫心理。這時，Ta用許妙成的賬號在運(yùn)營商官網(wǎng)上提交了自助換卡的申請，系統(tǒng)收到申請后，向許妙成的舊卡發(fā)送了驗(yàn)證碼：

尊敬的客戶，您好！您的USIM卡6位驗(yàn)證碼為388827。

因?yàn)轵_子在之前自己發(fā)出的短信中著重提及“至本條短信退訂”，所以看到這條由系統(tǒng)發(fā)出的信息后，許妙成再次編輯“取消+388827”，把驗(yàn)證碼發(fā)回給騙子。騙子看到短信后，迅速在網(wǎng)站填好驗(yàn)證碼，激活了自己手中已準(zhǔn)備好的4G空卡。半小時后，許妙成的手機(jī)忽然斷網(wǎng)，失去信號。在重啟無數(shù)次，甚至到家利用Wi-Fi上網(wǎng)查詢解決辦法無果后，他打算第二天再到營業(yè)廳處理。

這時候，騙子則開始利用手機(jī)號攻破他支付寶賬戶的安全防護(hù)。支付寶的自助重置密碼功能里，可以選擇“通過銀行卡驗(yàn)證”或者通過“驗(yàn)證短信+驗(yàn)證身份證件”兩種方式，也就是說，一旦騙子掌握了用戶的個人信息以及手機(jī)號碼，就可以隨意更改密碼了。隨后，騙子利用多個網(wǎng)絡(luò)平臺，開始轉(zhuǎn)走許妙成的3張銀行卡里的錢。雖然支付寶的通知很快讓許妙成意識到賬戶被盜，他也采取了解除綁定銀行卡等行動，但掌握著他手機(jī)號、身份證號等諸多信息的騙子，很容易擊破許妙成的補(bǔ)救措施，卡里的3萬多元，陸續(xù)被騙子轉(zhuǎn)走。

在個人身份信息泄露無處不在的當(dāng)下，最重要的安全閥門就是手機(jī)號碼了。但正如前面所說，人們的短信通道，其實(shí)已經(jīng)不再安全了。

“我們把所有的安全都寄托在一個東西（手機(jī)驗(yàn)證碼）上，”許妙成說，“這是一個機(jī)制上的漏洞，非?？膳?。因?yàn)闆]有科技含量它才可怕，有科技含量證明他的犯罪成本非常高，而且只有極少數(shù)人才能完成，他要破解各種東西。如果它不是一個有科技含量的東西，而是一個機(jī)制漏洞，那就相當(dāng)于騙子會隨時鉆空子?！?/p>

我們還能感到安全嗎

跟各家機(jī)構(gòu)溝通，讓馬月和許妙成疲憊不堪。

“這件事特別鬧心，我自己沒有任何過失，我正常刷卡，吃飯、看電影、在商場買東西……”馬月說，“當(dāng)時我去派出報(bào)案，人家都不給我立案。派出所說你必須讓銀行出示證據(jù)，打印憑條證明你的錢丟了，你口說無憑?！比ャy行，銀行卻說：“轉(zhuǎn)哪兒跟銀行沒關(guān)系，查不了?！?/p>

許妙成也遭遇了類似經(jīng)歷，他所用手機(jī)號碼的通信運(yùn)營商稱：“該案實(shí)際上是因客戶被人竊取了網(wǎng)廳登錄賬戶密碼在先（若客戶被人竊取了支付寶賬戶密碼也會產(chǎn)生同樣的經(jīng)濟(jì)損失），然后他自己又將換卡驗(yàn)證碼發(fā)給了騙子。從業(yè)務(wù)辦理流程來看是正常的?！逼鋵?shí)，早在幾個月前，該運(yùn)營商就意識到了網(wǎng)上自主激活空白卡存在漏洞這個問題。但這個自助服務(wù)通道一直沒有關(guān)閉，直到許妙成的案件發(fā)生后。

通信運(yùn)營商和銀行其實(shí)也在試圖解決各自業(yè)務(wù)中存在的漏洞，比如推廣4G卡。據(jù)葛健透露，4G卡的安全性要高一些，“4G基本上收不到偽基站的短信”。而銀行也一直在力推芯片卡，據(jù)VISA介紹，帶有芯片的信用卡和借記卡可以將被盜刷風(fēng)險(xiǎn)降低近20%。

可壞消息是，騙子的技術(shù)，也在更新?lián)Q代。臥底盜刷團(tuán)伙的記者就發(fā)現(xiàn)，銀行在更新技術(shù)，推行芯片卡，但是盜刷團(tuán)伙也在破解這種技術(shù)，據(jù)稱盜刷芯片卡的復(fù)制器也已經(jīng)生產(chǎn)出來了。4G卡也存在同樣問題，據(jù)葛健介紹，偽基站已經(jīng)可以通過技術(shù)手段，“專門把你的4G降頻，你信號不好的時候，就降頻了，4G降成3G，3G就變成2G了。這個時候你也會容易收到偽基站的短信”。

這一場騙子與各大機(jī)構(gòu)的安全攻防戰(zhàn)，結(jié)果如何，實(shí)難預(yù)料。更令人憂慮的是，曾經(jīng)泄露的那些個人信息，依然在黑市流傳，誰也不清楚自己的信息是否包含其中。

（水云間摘自《看天下》2016年第11期，本刊有刪節(jié)，喻 梁圖）