备胎上位！不法分子利用“副卡”一夜偷走5万元，他是怎么做到的

最近，小编看到了一篇耸人听闻的新闻《不用身份证、不用银行卡、甚至连真实姓名都不用知道，钱就这样不翼而飞了！》

光看标题，简直要吓出一声冷汗。小编编辑发现，这确实是一起新型诈骗，但是并非不需要身份证、银行卡，恰恰相反，这些都在骗子手里。

先概述一下事情经过。

2月3日，深圳的何先生一觉醒来，发现自己的手机被锁定了，同时某购物平台账户遭陌生人盗刷，一夜间损失5万余元。罪魁祸首指向何先生手机中的一条“开通手机副号”的短信。

副号与亲情号又不同，为避免混淆，再来了解一下。

亲情号是指不同机主、不同号码，为了彼此之间通话更便宜而开通的话费套餐，副号则是由运营商提供的“一卡多号”业务，在不换手机、不换SIM卡的基础上，用户可以增加最多3个真实手机作为副号。主副两个号码可同时待机，并可根据需要，自由选择其中任一号码拨打、接听电话和收发短信，编辑短信就可以办理。

其中，最简单的逻辑是：

主号只要编辑短信“KT手机号码”发送给运营商，该手机号码会受到一条来自运营商的确认短信，回复“Y”就会成为副号。当主号关机时，电话和短信就会被副号接管。

要实现这一点，有以下几个步骤：

1.买料。购买一些机构和网站泄露的姓名、银行卡号、身份证号和预留手机号，俗称为“四大件”，这一类料在黑产界十分常见，常掌握在料主手里。

2.钓鱼。不法分子向已经掌握了银行卡信息的用户发起绑定副号的业务申请，寻找作案对象。

3.强迫受害者关机。主号只有在副号关机时才能接管短信，这时不法分子就会使出两大招数：一是利用短信轰炸强迫目标把手机关机，二是利用手机云服务，对手机进行远程操作。这时各类网站泄露的数据库就会成为关键，只要找到受害者的常用密码，再尝试登录手机云服务。那么，原来本是为应对手机丢失的“销毁资料”的功能，就会被利用来操作远程关机。

4.开启疯狂洗劫，利用主号收到的短信验证码，网络账号，尤其是购买了金融产品的网络账户可能无一幸免。

整件事情梳理下来，还有一个关键点——开通手机副号功能前，受害者会收到一条手机确认短信。

【图片来源于网络】

但是，据新闻报道，受害者在事发前一天晚间，刚从老家湖南返回深圳，因为开了一天车，十分疲劳，一时大意回复了骗子的短信。最后一条防线被攻破。

2月10日，小编发现，网上有厂商发布的对此事的详细说明。

日前有媒体报道称，深圳的360手机用户何先生夜间遭遇手机被锁死、电商账户被盗情况，损失达53000元。360手机公司经过与何先生联系沟通，并与移动运营商合作取证调查，现已查明何先生账户被盗的过程，特公告如下：

一、1月30日，上海一个IP设备利用弱密码和社工库密码，频繁尝试破解何先生的360OS云服务账号，试错密码的间隔时间最短为3秒钟，最长为10分钟。由于何先生的360OS密码较简单，最终被成功登陆账号。

二、2月3日凌晨，IP位于辽宁的犯罪嫌疑人登陆何先生的 360OS云服务账号，利用“回复短信”接口把何先生号码绑定。犯罪分子又利用云服务“找手机—销毁资料”功能，每隔5、6分钟就发出一次“销毁资料”指令，使何先生的手机持续处于离网状态。

三、在何先生手机被“销毁资料”期间，犯罪嫌疑人接收了何先生的短信验证码，入侵其京东账号用白条消费，造成实际损失1000元；再用金条贷款52000元，转入何先生名下的中国银行卡中，随后转账50000元到犯罪嫌疑人账户，又用ATM机无卡取款2000元。何先生的损失总计达到53000元。

在此事件中，何先生的银行卡号、取款密码、预留手机号及身份证号（在网络个人信息交易黑市中俗称为“网银四大件”）已通过其他途径泄漏并被犯罪嫌疑人所掌握，再利用短信验证码，犯罪嫌疑人窃取了何先生银行卡资金。种种迹象表明，这是一种由团伙作案、分工严密的新型诈骗手段。

该公告还表示，云服务“找手机—销毁资料”原来是为了防止用户手机丢失导致隐私泄漏，却由于对用户身份验证机制不够完善，导致何先生的短信验证码被他人获取。目前360OS云服务已经在远程管理功能中关闭“回复短信”接口，已消除此类风险隐患，并已对何先生先行赔付53000元。

该公告还建议：

第一、加强对弱密码和异常登陆情况的检测与风险控制；

第二、对云服务远程管理手机的重要功能开启密保问题或短信验证码的二次验证；

第三、经过对异常登陆情况的排查，发现了107名存在被盗号风险的360OS用户，对这些高风险用户已冻结账号，并短信通知修改密码。

小编从多方了解到，目前该新型诈骗手法中招的已知案例仅此1例。

腾讯手机管家安全专家杨启波告诉小编()，该事件中不法分子的作案手段有很多种，比如：

1.通过厂商云平台获得用户同步的短信来作案；2.手机直接中毒，手机病毒在手机后台直接窃取支付短信验证码；3.通过自助换卡的方式，导致用户的电话卡实效来骗取验证码，不过目前运营商对此已经有政策管控。另外，运营商主副卡服务，副卡是单独号码，其实，也没有完全接管主卡的短信权限，使用此服务的用户不用过于紧张。

“鉴于目前很多手机都可以在实现‘手机端+云端’及时同步短信，诈骗份子只要掌握了用户手机云服务的帐号和密码，就可以在云端同步的方式，在极短时间内获取到带有验证码的那条短信，用户在使用这些具有云端管理服务的手机时，需要务必小心，加强密码管理意识，尽量避免使用容易被攻破的弱密码，才能保证用户云端、手机端的信息安全。”杨启波还提醒道。

整个事件中，小编发现，有两个关键点需要注意：1.如果没有如新闻报道中所说，何先生一时不慎回复了确认绑定副卡的短信，那么不会有后续悲剧发生；2.如果手机云服务功能进行了强认证，则不会有造成主卡失效，副卡上位收到验证码的局面。

因此，小编也检索到相关人士给出的建议：

1.用户在生活中一定要注重个人信息的保护，不要让骗子有可乘之机；

2.近期利用运营商业务的骗术增多，对于非本人操作的开通新功能、退订服务的运营商短信，大家要提高警惕，如需开通，最好直接联系到官方客服进行办理；

3.定期联系通信服务提供商，检查自己的手机号是否被恶意绑定为副号，如果被绑定一定要及时解绑，如果发现是恶意绑定可以联系公安机关；

4.对于自己支付账户的保护，要尽快实名认证，绑定身份证，防止手机丢失后被恶意找回密码，并且关闭小额支付免密码功能，设定消费限额，把损失尽量控制。

，。

（编辑：ASP站长网）