|
|
| |
| |
| |
<![CDATA[<blockquote id="ejiio"></blockquote>]]>
你可知道：
已經(jīng)掛失的手機號碼，還可以通過運營商客服電話輕松解除掛失嗎？
本以為設(shè)置了SIM卡密碼就高枕無憂了，沒想到被竊賊輕松攻破？
近期，一篇文章《一部手機失竊引發(fā)的驚心動魄的戰(zhàn)爭》在朋友圈熱傳，讓不少網(wǎng)友驚醒：過去丟手機，可能損失的只是一部手機的錢；如今丟了手機，可能搭上“全部身家”甚至因此背上貸款！
被熱傳的文章，是一位自稱有10年信息安全從業(yè)經(jīng)歷的安全專家“老駱駝”，根據(jù)自身親身經(jīng)歷所寫。由于原文太長，過程相當(dāng)折磨人，這里簡要回顧下：
1）19點30分左右，老駱駝手機遺失，未及時掛失。
2）20點54分左右，手機卡被安裝在其他手機上，利用短信驗證碼，獲取到了多個APP上的身份信息、銀行卡信息。同時，修改了運營商處的服務(wù)密碼。
3）21點，老駱駝凍結(jié)了支付寶、微信、云閃付，更換常用APP關(guān)聯(lián)手機號碼。
4）21點開始到次日凌晨5點，這個時間段一直在重復(fù)：老駱駝申請掛失，然后壞人申請解除掛失；老駱駝再申請掛失，再被壞人解除掛失的操作，如此往復(fù)數(shù)次 …
這個過程中，四川電信的掛失與解除掛失規(guī)則有漏洞（據(jù)悉，目前四川電信已修改該規(guī)則，但仍有破綻，見后文分析）。
最終，在老駱駝不斷阻擊中，還是被金融APP套走5000元，etc信用卡有各種買卡、充值的記錄幾千元，銀聯(lián)轉(zhuǎn)賬記錄幾千元。文章曝光后，損失陸續(xù)找回，但過程很崎嶇。
我們每個人都有遺失手機的可能性，雖然幾率很低，但如果恰好發(fā)生在自己或親人身上，會相當(dāng)相當(dāng)麻煩。有了老駱駝的前車之鑒，小編在當(dāng)天就按文章介紹的方法設(shè)置了SIM卡密碼，并修改了默認的PIN碼為一個復(fù)雜密碼（移動默認為1234），本以為可以高枕無憂了，沒想到聊天時有同事說這僅僅是個擺設(shè)！并且掛失解掛的過程中也仍有漏洞。
為了一探究竟，我們西部數(shù)碼（west.cn）的團隊兵分幾路，于2020年10月16日，分別對四川移動、電信、聯(lián)通的手機掛失/解除掛失流程進行了測試分析：
一、 四川移動
掛失：可憑借服務(wù)密碼；或者最近60天內(nèi)三個有效通話記錄手機號，撥打10086客服電話掛失。
解除掛失狀態(tài)：憑掛失時選擇的方式（如果掛失時選擇了服務(wù)密碼掛失，則提供服務(wù)密碼解除；如果選擇三個有效通話記錄掛失，則需要提供申請掛失時提供的三個電話號碼）。
如果遺忘sim卡密碼（PIN碼）：
四川移動客服要求提供：手機卡背后的4串?dāng)?shù)字，核實后直接提供了PIN碼和PUK碼（它的主要功能就是當(dāng)SIM卡輸入錯誤的PIN碼，導(dǎo)致手機被鎖住時用來解鎖的碼），然后順利解鎖。
值得稱贊的地方：如果沒有服務(wù)密碼，解除掛失狀態(tài)時必須嚴格驗證申請掛失時的三個手機號碼，這可能防止壞人解除掛失（他通常猜不到機主提供的是哪三個號碼）。
PUK碼獲取太過容易（沒有進行任何的安全驗證），試想一下：手機被盜/遺失，此時手機卡已經(jīng)在壞人手里，他憑卡背后的數(shù)字致電客服，輕松繞過PIN碼鎖定，解鎖手機卡。機主設(shè)置的PIN碼鎖定失去了安全屏障。
建議：四川移動對獲取PIN/PUK碼改為需要去線下實體營業(yè)廳辦理，或者在移動的APP里面經(jīng)過人臉識別后提供也可以。
掛失：可憑服務(wù)密碼；或者上個自然月的三個有效通話手機號碼，撥打10000號客服電話掛失。且24小時內(nèi)僅允許電話解除掛失一次。
解除掛失：與掛失提供的憑據(jù)一樣，但不需要像移動那樣驗證申請掛失時的號碼，上個自然月的三個有效通話手機號碼。
要獲取PUK碼，需要登錄網(wǎng)上營業(yè)廳，或者去線下實體營業(yè)廳辦理。
四川電信，在這次老駱駝事件中，是重要主角之一，經(jīng)過這次事件，有所改進（改進為24小時內(nèi)僅允許電話解除掛失一次），但這個改進，仍有不完善之處：?絕大多數(shù)人在丟失手機后會第一時間掛失，但99%的人不知道壞人還可以憑通話號碼就可以在線解除，所以僅有的這一次電話解除機制更像是為壞人留下了一個后門。
至于服務(wù)密碼和三個通話號碼的獲?。汉诋a(chǎn)拿到手機卡后，可以第一時間憑身份證號和手機驗證碼登錄網(wǎng)上營業(yè)廳獲取。而身份證號碼可以通過社保APP、攜程APP等很多途徑獲取到（通過SIM卡插到其他手機上得到的驗證碼）
建議：四川電信改為跟四川移動的政策同步：解除掛失時需要驗證提供的三個號碼必須跟掛失時報的號碼完全一致，這樣即可堵住漏洞。至于24小時解除一次還是多次其實不是關(guān)鍵。
掛失：可憑服務(wù)密碼；或者提供機主姓名+身份證號碼以及辦理手機卡時預(yù)留的聯(lián)系地址或聯(lián)系電話（地址/電話必須其一）。
四川聯(lián)通不清楚是否因為最近這個事件影響而臨時調(diào)整過政策，掛失時必須提供辦理手機卡時登記的地址或者聯(lián)系電話，大多數(shù)人的電話卡應(yīng)該用了多年了，誰還能記得當(dāng)年辦卡時留過的其他號碼呢？當(dāng)年辦卡預(yù)留的地址也可能很多人搬過家記不清是留的哪個地址了。
機主手機丟失了，本來就很著急，想第一時間掛失，結(jié)果四川聯(lián)通因為“安全”考慮設(shè)置的條件可能讓很多機主掛不了失！
建議：四川聯(lián)通在掛失條件上參考移動和電信的規(guī)則，提供最近3個月的三條通話記錄就行了。
其實，“老駱駝”的經(jīng)歷并非個案。這不過是偷竊手機、盜刷銀行卡受害者中的冰山一角。目前，全國手機網(wǎng)民接近10億，丟失手機引發(fā)的盜刷現(xiàn)象正在成為新一輪的財產(chǎn)安全隱患。
那么，對于我們普通人，如何才能盡可能避免新的安全隱患，做到財產(chǎn)安全呢？
根據(jù)對目前各運營商的服務(wù)規(guī)則測試，我們總結(jié)出如下建議：
3. 確保手機鎖屏狀態(tài)下來短信無法看到短信驗證碼內(nèi)容（蘋果手機默認是能看到的，需要設(shè)置關(guān)閉）。
4. 如果手機意外遺失（被偷/被搶），立即致電運營商客服進行掛失申請并盡快補辦新卡。
當(dāng)然，保障錢財安全，做好手機防護，僅有用戶參與還遠遠不夠，僅有上述的設(shè)置也是不夠的。如果運營商的政策不調(diào)整，那么用戶設(shè)置的安全防線也沒有意義。
上面就是西部數(shù)碼團隊對四川地區(qū)三大運營商在處理手機掛失/解掛的情況匯總，我們已經(jīng)就這些漏洞和建議反饋給了運營商客服，但運營商政策的調(diào)整一般不是太容易的，希望此文能引起運營商相關(guān)團隊的注意，提升風(fēng)控意識，通過積極行動協(xié)助老百姓保護手機安全、保護老百姓的錢袋子。
因為區(qū)域原因未測試其他省份的情況，可能其他省份也多少存在類似的問題。也歡迎廣大網(wǎng)友向本省運營商咨詢/測試一下他們的相關(guān)服務(wù)規(guī)則，在評論區(qū)留言告訴我們。
如果大家有認識運營商的相關(guān)部門人員，請發(fā)給他們研究流程的優(yōu)化改進; 也歡迎大家轉(zhuǎn)發(fā)給親戚朋友，共同重視手機安全風(fēng)險。
旺旺客服
-
速度網(wǎng)絡(luò)服務(wù)商
絡(luò)服務(wù)商&site=cntaobao&s=1&charset=utf-8)
電子郵箱
-
sudu@yunjiasu.cc
