手机失窃和SIM卡安全 - 边窗

/ 0评 / 0

前段时间,一篇《一部手机失窃而揭露的窃取个人信息实现资金盗取的黑色产业链》被很多人转载,SIM卡安全再次被重视起来。原文已被作者删除,根据其他人的总结,坏蛋们的套路如下:

  1. 在营业厅下班后偷手机换SIM卡到其他手机;
  2. 使用短信验证码登录运营商官网,更换服务密码;
  3. 使用短信验证码登录社保网站,获取身份证号、银行卡号、证件照片;
  4. 使用短信验证码登录风控薄弱的金融APP贷款、套现;

看完文章,吓得我赶紧查看了自己手机SIM卡的PIN(Personal identification number)码是否设置,记得自己设置过PIN码,却不巧三次都输错,导致SIM卡被锁,锁定的SIM卡需要输入PUK(Personal Unblocking Key)码,却又不记得运营商分配的PUK码,PUK码连续输错10次SIM卡会被永久锁定,只能到营业厅补卡。手机因此无法使用,如果设置PIN码,重启手机或更换设备都需要先输入PIN码。

在PUK码输入界面,手机只能紧急呼叫,不能拨打运营商电话,因此只能拔卡连Wifi使用。PUK码忘记可以在网上营业厅的个人资料中查看,或者咨询线上人工客服(需要登录),偏偏服务密码又忘记,找回服务密码又需要短信验证码或个人身份信息(我用北京联通,23点-7点无法使用该方法),直到第二天使用身份证照片才找回服务密码。通过线上人工客服,仅需要提供身份证号码和姓名,就可以找回PUK码,从而进一步重设PIN码。

整个环节的薄弱点包括:个人真实姓名、身份证号码、身份证照片、服务密码、PIN码、短信验证码。因此仅仅设置PIN码对于稍微用心点的大坏蛋来说是不够的,还包括保护个人身份信息和服务密码。现在大多数主流应用还在使用短信验证码作为2FA或者OTP的方式,而短信本身就面临不止SIM卡被窃这一种风险,还包括SIM Swap、伪基站、短信窃听等等问题。因此,NIST(美国国家技术标准研究所)在2020年发布的《SP 800-63 Digital Identity Guidelines》中将SMS列为RESTRICTED authenticator,即不可靠的认证方式:

Currently, authenticators leveraging the public switched telephone network, including phone- and Short Message Service (SMS)-based one-time passwords (OTPs) are restricted. Other authenticator types may be added as additional threats emerge. Note that, among other requirements, even when using phone- and SMS-based OTPs, the agency also has to verify that the OTP is being directed to a phone and not an IP address, such as with VoIP, as these accounts are not typically protected with multi-factor authentication.

https://pages.nist.gov/800-63-FAQ/

另外,虽然国内运营商的要求,让SIM Swap的攻击不会发生,补卡只能老老实实去营业厅办理。但手机号被运营商回收再被其他人领取其实就是间接的SIM Swap,有厂商早些年称之为“手机号中毒”,所以换手机号要谨慎,换号前要做好各个应用换号的准备。我曾经用的一个号码,老是被陌生人打,叫的都是同一个人名字,好奇心驱使,用这个号码尝试登录某社交APP,之前的用户长相却有三分帅,而假如我用号码做借贷,他就会莫名得到三分利了。

知识共享许可协议  本作品采用知识共享署名-相同方式共享 4.0 国际许可协议进行许可。

发表回复

您的电子邮箱地址不会被公开。