觸目驚心: 偽基站簡訊嗅探已被偵破!多個頂級網站(包括銀行)存在漏洞被詐騙分子利用






此前豆瓣網友獨釣寒江雪遭遇簡訊嗅探被盜刷引起很多網友關注,據終結詐騙公眾號稱目前此案已經被偵破。

犯罪團夥在利用通信協議漏洞的前提下使用社會工程學展開攻擊,對於用戶來說此類攻擊已可說是防不勝防。

簡訊嗅探盜刷回顧:

豆瓣網友獨釣寒江雪在本月初遭遇偽基站盜刷,包括支付寶和京東在內的多個帳號遭到詐騙分子的瘋狂洗劫

詐騙分子利用GSM通信協議中的漏洞嗅探受害者的簡訊驗證碼,通過簡訊驗證碼重置各個帳戶密碼進行盜刷。

這次攻擊事件中有個非常值得關注的問題就是:詐騙團夥是如何獲得受害者身份證號碼等這類關鍵信息的呢。

答案就是社會工程學,然而讓人大跌眼鏡的是詐騙團夥是通過國內多個頂級網站(包括銀行)的漏洞在線檢索受害者信息。

觸目驚心: 偽基站簡訊嗅探已被偵破!多個頂級網站(包括銀行)存在漏洞被詐騙分子利用

一、詐騙分子還原盜刷場景:獲得手機號

已經被深圳市公安局龍崗分局龍新派出所抓獲的詐騙分子還原盜刷場景,關鍵部分包括設備以及社會工程學。

在演示過程中詐騙分子讓民警把手機的4G網路切換到2G 網路充當受害者,接著開始啟動升級版偽基站設備。

在啟動設備不到30秒詐騙分子的手持設備就收到電話呼入,而這個號碼就是演示充當受害者的民警手機號碼。

但此時民警手機表面上看沒有任何操作,原來偽基站啟動後附近2G手機會被輪流吸附到詐騙分子的手持設備。

二、還原盜刷場景:嗅探簡訊驗證碼

在上個步驟獲得受害者的手機號碼後接著詐騙分子演示嗅探簡訊驗證碼,即手持設備接受被害者的所有簡訊。

在現場演示中詐騙分子啟動設備後立即接收到幾十條簡訊並且不斷增加,這就是嗅探到周邊的各個設備簡訊。

這些簡訊中包括銀行的餘額變動提醒、辦稅業務使用的二維碼,部分簡訊甚至還完整展示了金融卡號碼等等。

能夠接收此類簡訊的前提是受害者必須開啟手機,如果關機或飛行模式未連接基站則詐騙分子無法獲得簡訊。

三、還原盜刷場景:社會工程學+多個頂級網站和服務存在漏洞

此前藍點網認為詐騙分子可能在攻擊前就已經獲得關鍵信息,也就是藍點網所稱的社會工程學加上定點攻擊。

不過從演示來看詐騙分子掌握的信息讓人目瞪口呆,詐騙分子是先嗅探手機號然後立刻再去尋找的關鍵信息。

這些信息從哪里查找的:利用多個知名公司的網站和工具中存在的漏洞,輸入手機號碼檢索對應的用戶信息。

就本次被抓獲的詐騙分子其掌握的漏洞包括:支付寶、京東、蘇寧、中國移動、招商銀行以及工商銀行等等。

據詐騙分子介紹其圈內每個人都掌握部分方法,因此有漏洞並且已經被利用的網站可能遠不止上面這些公司。

目前部分網站如支付寶等已經與警方聯繫獲取漏洞,遺憾的是還有更多網站存在漏洞但是還沒有被發現問題。

四、關鍵信息獲得完成展開盜刷:

獲得以上信息後做到盜刷基本沒有什麼問題了,通過簡訊驗證碼和身份證號等直接重置受害者各個帳號密碼。

即便你沒有綁定金融卡到由於詐騙分子拿到金融卡也是可以綁定盜刷的,所以解綁實際並不能解決盜刷問題。

在詐騙分子的交代中還有很多網站的風控並不嚴格,比如登錄後不需要上傳身份證即可進行小額貸款等操作。

詐騙分子盜刷需要的條件:

包括受害者手機開機狀態並且處於2G 網路模式下,手機號需要是移動或者聯通因為這倆使用GSM網路制式。

手機必須保持靜止狀態否則可能無法被嗅探到號碼,這也是詐騙分子們都選擇後半夜人們熟睡時作案的原因。

受害者的各類信息能夠通過其他途徑被詐騙分子獲得,最後各個網站和App的漏洞泄露用戶的關鍵信息等等。

可能有用的防禦措施:

晚上睡覺時關機或者開飛行模式,若收到來歷不明簡訊後立即關機或啟動飛行模式並移動位置逃出基站範圍。

必要時最好使用新金融卡不要在任何網站和APP里綁定,資金存儲到新金融卡上避免卡號被詐騙分子們獲得。

儲蓄卡和信用卡的支付限額盡量通過各個銀行APP設置降低,若真需要大額交易時手動提高限額再降低限額。

最後出現問題時立即採取連續三次輸錯密碼和掛失手段凍結金融卡禁止金融卡繼續交易,避免損失繼續擴大。


網站和APP的安全漏洞怎麼辦:呵呵…….


最後的聲明:

本次龍崗公安分局抓獲的犯罪團夥交代作案位置與網友獨釣寒江雪住所位置高度合,但是目前尚未完全確定

需要警方通過技術驗證後再確定獨釣寒江雪是否就被這個犯罪團夥盜刷的,後續若有新消息我們再繼續分享。

開學季正版軟件促銷開始啦:

iPhone用戶必備!iTunes完美替代軟件iMazing正版促銷券後價僅64元,支持重裝和換機遷移,點擊閱讀原文按鈕先領券並查看介紹。

下載神器IDM特惠促銷1年版79元、終身版券後價僅124元,點擊閱讀原文按鈕領取再查看介紹。

觸目驚心: 偽基站簡訊嗅探已被偵破!多個頂級網站(包括銀行)存在漏洞被詐騙分子利用

觸目驚心: 偽基站簡訊嗅探已被偵破!多個頂級網站(包括銀行)存在漏洞被詐騙分子利用

觸目驚心: 偽基站簡訊嗅探已被偵破!多個頂級網站(包括銀行)存在漏洞被詐騙分子利用