MarioSMS
SIM卡劫持：预警信号与运营商锁定

SIM卡劫持：预警信号与运营商锁定

作者： MarioSMS team · · 阅读约 9 分钟

目录
  1. SIM 卡劫持是怎么进行的？
  2. 哪些账号会暴露？
  3. 有哪些预警信号？
  4. 怎样在运营商那里锁定号码？
  5. 劫持一旦成功，怎样减少损失？
  6. 第一个小时应该做什么？
  7. 常见问题

SIM 卡劫持（SIM swap），是指有人说服或花钱收买你的移动运营商，把你的手机号转到他控制的 SIM 卡或 eSIM 上。从那一刻起，所有打给这个号码的电话和发给它的短信都会到达他的手机，密码重置验证码也在其中。你自己的手机则变成无服务。接着，攻击者会把每个能用短信重置密码的账号逐一试过去，先从邮箱下手，因为邮箱能重置其余大部分账号。

SIM 卡劫持是怎么进行的？

运营商每天都会出于正常原因在 SIM 卡之间转移号码：手机丢了、SIM 卡坏了、改用 eSIM。攻击者走的是同一套流程，只是用的是你的资料，而不是他自己的。

  1. 收集你的资料。 姓名、地址、出生日期、证件号码的后几位，以及手机号本身，都能在数据泄露和数据经纪网站上找到。一个在很多注册表单上出现过的手机号，更容易和其余资料对上。
  2. 向运营商申请新 SIM 卡。 他们通过电话、门店或你的网上运营商账户，声称旧 SIM 卡丢了，再用收集到的资料回答安全问题。有些案例中，运营商员工被收买或被骗，直接跳过了核验。
  3. 号码被转走。 运营商激活新的 SIM 卡或 eSIM，网络不再把你的通信送到你的手机上。整个过程只需几分钟。
  4. 申请验证码。 他们先在你的邮箱上，然后在银行、加密货币交易所或社交账号上点击“忘记密码”，通过短信收到验证码。

携号转出（port-out）的攻击方式相同，只是第 2 步不一样。攻击者在另一家运营商开一个账户，申请把你的号码转过去；如果拿到了你的账户号码和转网 PIN 码，也会用上。

哪些账号会暴露？

凡是仅凭一条短信就能重置密码或批准登录的账号都会暴露。通常包括保留了找回手机号的邮箱服务、很多通过短信发送一次性验证码的银行和支付应用、加密货币交易所、社交网络，以及号码本身就是账号的聊天软件。

开启了短信双重验证的账号，如果攻击者已经从数据泄露中拿到了密码，同样会暴露。他们只差一个验证码，劫持号码正好把它补上。不用手机号也能开启双重验证一文比较了短信、验证器应用和硬件密钥在这种攻击面前的表现。

有哪些预警信号？

  • 手机显示“无服务”或“仅限紧急呼叫”，而同一地点的其他手机信号正常，重启也没用。
  • 运营商发来短信或邮件，通知你一次你没有申请过的 SIM 卡更换、eSIM 激活或号码转移。有些运营商会在旧 SIM 卡失效前的那一刻把通知发到旧卡上。
  • 收到密码重置邮件或“新登录”提醒，而相关账号你并没有动过。
  • 邮箱里多了转发规则或新的找回地址，而这些不是你添加的。

第一个信号最可靠，也最容易被当成网络故障忽略。如果你在平时有信号的地方突然没了服务，用另一台设备检查一下你的账号是否还在你手里。

怎样在运营商那里锁定号码？

现在运营商都提供一些设置，在你亲自关闭之前，阻止 SIM 卡更换和号码转移。在美国，FCC 于 2023 年通过规定，要求运营商在把号码转到新 SIM 卡或另一家运营商之前验证客户身份，并在有人申请这类变更时通知客户。

运营商（美国）设置阻止的操作
T-MobileSIM Protection该线路的 SIM 卡和 eSIM 更换
T-MobilePort Out Protection转到其他运营商
VerizonSIM Protection该线路的 SIM 卡和 eSIM 更换
VerizonNumber Lock转到其他运营商
AT&TWireless Account LockSIM 卡更换、号码转移和其他账户变更

设置的名称和覆盖范围会变，所以请查看运营商的账户设置，或者问客服你的线路有哪些选项。在美国以外，可以直接点名要求以下三项。

  1. 锁定 SIM 卡和 eSIM 更换，这样补办 SIM 卡时需要你先解锁。
  2. 设置转出 PIN 码（转网 PIN 码），它要和你的账户 PIN 码不同，也不能是任何与你相关的数字。把它离线记下来。
  3. 为网上运营商账户设置强密码并启用验证器应用。 网上运营商账户往往可以直接签发 eSIM，所以这个账户需要和邮箱同等的保护。

劫持一旦成功，怎样减少损失？

运营商锁定能降低被劫持的概率。把短信从重要账号中撤出，能限制劫持波及的范围。

  1. 为邮箱、密码管理器、银行和所有加密货币账户开启验证器应用或硬件密钥。
  2. 验证器能正常使用后，在这些账号上删除手机号这一找回方式。留着它，短信这条路就一直开着。
  3. 把每个账号的备用码离线保存。
  4. 少把个人号码交给各种服务。只在注册时需要一个验证码的商店、论坛或应用，不需要你的真实号码。租用号码就能通过这一关，之后找回方式改用你的邮箱。

最后一步并不能杜绝劫持，但能减少可以通过你的号码重置的账号数量，也让你的号码在泄露数据里和你的名字一起出现的次数变少。更全面的清理见手机号隐私保护指南。

第一个小时应该做什么？

  1. 用另一部电话打给运营商，报告号码被劫持。要求他们把号码转回你的 SIM 卡，然后开启 SIM 卡锁定，设置新的转网 PIN 码。如果他们提供欺诈案件编号，记下来。
  2. 先保住邮箱，用一台仍处于登录状态的设备操作。修改密码，退出其他所有会话，删除不是你添加的转发规则或找回地址。
  3. 修改银行、支付和加密货币账户的密码，如果有资金变动，打银行的反欺诈热线。
  4. 检查其他账号的登录提醒，退出不认识的会话。
  5. 报告欺诈。 银行可能要求你提供报警记录或国家反欺诈机构的报告。在美国，IdentityTheft.gov 会登记你的报告，并给出一份恢复方案。

重新拿回账号后，把上面这些账号从短信验证中移出，并删除手机号这一找回方式。

常见问题

eSIM 能防止 SIM 卡劫持吗？

不能。和实体 SIM 卡一样，运营商可以把 eSIM 重新签发到新设备上，有时甚至不用去门店，在网上运营商账户里就能办。运营商锁定和安全的运营商账户对两种卡都有保护作用。

没有我的资料，SIM 卡劫持还能发生吗？

通常需要其中一部分资料，所以数据泄露才这么要紧。在内部人员作案的案例中，运营商员工完全跳过了核验，你这边的任何设置都挡不住。即便如此，使用验证器应用或硬件密钥、并已删除手机号这一找回方式的账号，攻击者仍然碰不到，因为没有任何验证码经过短信。

短信双重验证是不是总比没有好？

是的。它能挡住只拿到你密码的人。对于邮箱、银行和加密货币账户，验证器应用或硬件密钥还能防住 SIM 卡劫持这种情况。

更多博客文章