谁来保卫我们的银行卡

　　2016年4月8日，周五的这个傍晚，有一个骗子想“变成”许妙成。

　　许妙成正在北京地铁6号线的车厢里，毫无警觉。24岁的许妙成就职于一家投资公司，工作两年有了3万多存款。这些钱，分别存在他的3张银行卡和支付宝账户里。无论是支付宝还是银行卡，都设有重重安全措施——密码验证、身份证号验证、邮箱验证等等。即便这些验证统统失效，还有最后也是最关键的一道安全阀门——手机。现在几乎所有的支付、更改账户都需要输入手机动态密码来验证身份。

　　而手机，现在正在许妙成的手里。

　　正如其他银行卡盗刷案一样，那个登录IP显示在海口市的骗子，找到一个突破口，逐步瓦解了许妙成的安全措施。现在，4月8日17点多，骗子正打算攻破最后一关，拿到许妙成的手机，“变成”这个毫不知情的年轻人。

　　盗刷银行卡

　　骗子是人类最古老的行业之一。只不过，不同阶段有不同的特性。以前的骗子更多是骗人，现在，越来越多的骗子试图骗过机器，比如骗过银行的系统。

　　2016年3月20日晚上9点多，北京媒体人马月收到两条短信，是银行发来的，提醒他银行账户刚刚有两笔消费，一笔46万、一笔1万，消费地点是江西省上饶市宝泽楼市场。他的第一反应就是打电话挂失，电话里，对方要求他报上账户，并且输入密码。

　　“这个时候我脑子里还留了一个信号，我想万一这是个伪装的号呢。”马月本身做互联网工作，知道很多诈骗方式，向来谨慎，“各种奇怪的诈骗链接，我绝对不会点。刚发生这个事的时候，我还怕电话已经中毒（用朋友的电话打给银行进行挂失）”。

　　最终证实，短信是真的，电话是真的，那两笔消费也是真的。确实有人骗过了银行，只用了两分钟，就划走了本属于马月的47万。

　　马月后来才从银行处得知，2月份，曾有人在河北查询自己卡内余额。这张卡只是一张借记卡，并未开通网银功能。他说：“肯定是有人复制了我的卡。”

　　不但复制了他的卡，还需要掌握卡的密码。骗子想做到这些，有好多种途径。他们可以在ATM机上设置陷阱，等马月刷卡时复制；也可以在消费场所伪装服务员使用改装过的POS机盗刷；银行内部人员泄露客户信息的事情也曾发生过，还有一种是在电脑或手机中植入木马。

　　曾有记者在一个盗刷银行卡的QQ群卧底几个月，见识到了银行卡复制器的威力——只要拿银行卡在上面刷一下，不出10秒钟就能读出包括密码在内的账户信息并复制一张新卡。

　　贩卖机器、盗取信息、贩卖信息、刷卡套现已经形成了一条隐秘又完整的产业链。其中每个环节都有风险，各做一环显然相对安全。买到复制卡后，取钱的骗子也有一套严密流程，比如购买偏远山村村民的身份证用以办银行卡，再跨省取钱。

　　据中国互联网协会发布的《中国网民权益保护调查报告》估算，2015年，因个人信息泄露、垃圾信息、诈骗信息等现象，导致总体经济损失约805亿元。

　　窃取手机

　　毫无疑问，许妙成的个人信息也被泄露了，但并不是银行卡信息，而是网络账户。这种信息在网络上流传更广，与银行相比，一些商业网站的安全防护要薄弱很多。

　　“我们现在很多诈骗都是由于个人信息被泄露，”手机安全系统专家葛健说，“除了黑客通过技术获取外，平时比如看病、买车、买房、买保险，填写的个人信息都有可能通过黑市被贩卖出去。”

　　个人信息泄露渠道如此之多，以至于许妙成根本就不清楚，骗子是通过何种渠道，拿到自己在移动通信运营商官网的账户和密码的，“那个官网我其实已经很多年不登了”。

　　17点53分，骗子已经登录了他在运营商官网的账户，点击了几个链接后，很快就为许妙成订购了手机报的业务。系统发现了这笔订单，通过官方号码发短信反馈给许妙成，但该短信中并未提及该如何退订这一业务。

　　“我心想，运营商怎么莫名其妙给我开了这么一个鬼业务。”许妙成说，他经常收到这类信息，几乎条件反射般回复了“TD”（常用的退订业务代码），但系统认为他的代码不正确，还给了他一个清单“请回复括号中的指令订阅以下手机报”。许妙成想到了打客服电话询问，但在拥挤的地铁里，他还是决定到家再说。

　　骗子是不会等的。Ta已经有了一个详细的计划，计划的核心是运营商官网上“自助激活4G备用卡”的业务。这是该运营商为了开拓4G市场，让用户便捷换卡提供的一项服务，只要有一张空白的4G卡，点击在线申请后，系统会下发一个USIM激活码到旧卡，在网站填写激活码后，便可成功将旧卡作废，启用新卡。

　　如果骗子能够拿到这个激活码，成功更换新卡，也就意味着许妙成手里的手机卡将作废，所有的来电、短信都会转移到骗子的手机上去。

　　人们的手机短信渠道早已经危险重重，骗子有多种方式可以拿到这个验证码——可以通过伪基站发送带有病毒链接的地址，如果许妙成点击了，就会下载木马病毒或者含有木马病毒的App，之后他原本能收到的激活码短信都会被拦截发到骗子手机上；如果骗子和许妙成在同一辆地铁上，还可以通过特殊设备，对手机信号进行干扰，拦截激活码；如果许妙成手机里的一些App具有短信同步功能，而骗子能够破解这些账户，也可以轻易地获得这个激活码。

　　在所有窃取个人信息的方式里，伪基站是目前最常见的一种，也是技术最强大的一种。以前还要开车架设伪基站，现在“伪基站越来越轻便，背一个包就可以带走”，葛健说，骗子背一个包，专门在人多的地方来回走，或者骑电动车、坐公交车，沿路就会接管辐射范围内的手机信号，并发送短信。这些短信都可以伪装成“10086”“95558”等通信运营商或银行的官方客服号码，一般都会带有链接。

　　“而且短信中的网址也特别有迷惑性”，葛健说，比如中国移动官网是10086.cn，伪基站发过来的链接可能用小写的英文字母“l”替换掉“1”，变成l0086.cn。

　　更可怕的漏洞

　　这次，骗子没有使用伪基站的方式，而是用个人临时手机号给许妙成发了一条短信：

　　您好！您已成功订购手机报40元/半年，3分钟内退订免费。如需退订请编辑短信“取消+验证码”至本条短信退订。

　　因为之前刚接收到官方号码发来的订立成功短信，许妙成几乎不假思索就回复了“取消+验证码”几个字。他说：“我甚至都没有注意到这条短信号码的可疑。”

　　骗子收到了许妙成的回复，并体会到他取消订阅的急迫心理。这时，Ta用许妙成的账号在运营商官网上提交了自助换卡的申请，系统收到申请后，向许妙成的旧卡发送了验证码：

　　尊敬的客户，您好！您的USIM卡6位验证码为388827。

　　因为骗子在之前自己发出的短信中着重提及“至本条短信退订”，所以看到这条由系统发出的信息后，许妙成再次编辑“取消+388827”，把验证码发回给骗子。骗子看到短信后，迅速在网站填好验证码，激活了自己手中已准备好的4G空卡。半小时后，许妙成的手机忽然断网，失去信号。在重启无数次，甚至到家利用Wi-Fi上网查询解决办法无果后，他打算第二天再到营业厅处理。

　　这时候，骗子则开始利用手机号攻破他支付宝账户的安全防护。支付宝的自助重置密码功能里，可以选择“通过银行卡验证”或者通过“验证短信+验证身份证件”两种方式，也就是说，一旦骗子掌握了用户的个人信息以及手机号码，就可以随意更改密码了。随后，骗子利用多个网络平台，开始转走许妙成的3张银行卡里的钱。虽然支付宝的通知很快让许妙成意识到账户被盗，他也采取了解除绑定银行卡等行动，但掌握着他手机号、身份证号等诸多信息的骗子，很容易击破许妙成的补救措施，卡里的3万多元，陆续被骗子转走。

　　在个人身份信息泄露无处不在的当下，最重要的安全阀门就是手机号码了。但正如前面所说，人们的短信通道，其实已经不再安全了。

　　“我们把所有的安全都寄托在一个东西（手机验证码）上，”许妙成说，“这是一个机制上的漏洞，非常可怕。因为没有科技含量它才可怕，有科技含量证明他的犯罪成本非常高，而且只有极少数人才能完成，他要破解各种东西。如果它不是一个有科技含量的东西，而是一个机制漏洞，那就相当于骗子会随时钻空子。”

　　我们还能感到安全吗

　　跟各家机构沟通，让马月和许妙成疲惫不堪。

　　“这件事特别闹心，我自己没有任何过失，我正常刷卡，吃饭、看电影、在商场买东西……”马月说，“当时我去派出报案，人家都不给我立案。派出所说你必须让银行出示证据，打印凭条证明你的钱丢了，你口说无凭。”去银行，银行却说：“转哪儿跟银行没关系，查不了。”

　　许妙成也遭遇了类似经历，他所用手机号码的通信运营商称：“该案实际上是因客户被人窃取了网厅登录账户密码在先（若客户被人窃取了支付宝账户密码也会产生同样的经济损失），然后他自己又将换卡验证码发给了骗子。从业务办理流程来看是正常的。”其实，早在几个月前，该运营商就意识到了网上自主激活空白卡存在漏洞这个问题。但这个自助服务通道一直没有关闭，直到许妙成的案件发生后。

　　通信运营商和银行其实也在试图解决各自业务中存在的漏洞，比如推广4G卡。据葛健透露，4G卡的安全性要高一些，“4G基本上收不到伪基站的短信”。而银行也一直在力推芯片卡，据VISA介绍，带有芯片的信用卡和借记卡可以将被盗刷风险降低近20%。

　　可坏消息是，骗子的技术，也在更新换代。卧底盗刷团伙的记者就发现，银行在更新技术，推行芯片卡，但是盗刷团伙也在破解这种技术，据称盗刷芯片卡的复制器也已经生产出来了。4G卡也存在同样问题，据葛健介绍，伪基站已经可以通过技术手段，“专门把你的4G降频，你信号不好的时候，就降频了，4G降成3G，3G就变成2G了。这个时候你也会容易收到伪基站的短信”。

　　这一场骗子与各大机构的安全攻防战，结果如何，实难预料。更令人忧虑的是，曾经泄露的那些个人信息，依然在黑市流传，谁也不清楚自己的信息是否包含其中。

　　（水云间摘自《看天下》2016年第11期，本刊有删节，喻 梁图）