共计 3242 个字符，预计需要花费 9 分钟才能阅读完成。
目录
手机短信的重要性
手机短信接口被攻打的危害
社交 App 短信遭逢疯狂盗刷
社交 App 该如何防控威逼
规定上的防护措施
技术上的防护措施
近期监测发现，某出名社交平台遭逢黑灰产大规模注册账号，账号短信接口被疯狂盗用。不仅影响失常用户操作，更带来各种威逼。
手机短信的重要性
在互联网时代，账号服务是咱们日常生活中不可或缺的一部分，包含账号注册、账号登录、账号密码找回等。而手机短信验证在这些过程中起着至关重要的作用。
首先，在账号注册阶段，手机短信验证是一种无效的身份核验形式。 在注册新账号时，通常须要提供个人信息，如用户名、邮箱地址和手机号码等。通过向注册时提供的手机号码发送短信验证码，能够确保所提供的手机号码真实有效，避免歹意注册。此外，通过手机短信验证，能够确认注册者是非法用户，升高了垃圾注册和歹意攻打的危险。
其次，在账号登录阶段，手机短信验证进步了账号的安全性。 在登录账号时，通常须要输出用户名和明码。然而，仅凭用户名和明码可能不足以确保账号平安。这时候，手机短信验证就成为了额定的平安层。通过向用户的手机发送短信验证码，用户须要在登录时输出该验证码，从而减少了账号的安全性。即便黑客窃取了用户的用户名和明码，如果没有正确的短信验证码，也无奈登录账号。
最初，在账号密码找回阶段，手机短信验证提供了不便且平安的形式 。在遗记明码或失落明码的状况下，通常须要找回明码。这时候，通过向注册时提供的手机号码发送短信验证码，能够轻松地找回明码，同时也避免了歹意找回明码的行为。
手机短信验证在互联网账号服务中起到了爱护用户信息和进步账号安全性的重要作用，更是一种实在信息的核验伎俩。
2022 年 8 月施行的《互联网用户账号信息管理规定》明确规定，互联网信息服务提供者为互联网用户提供信息公布、即时通讯等服务的，该当对申请注册相干账号信息的用户进行基于挪动电话号码、身份证件号码或者对立社会信用代码等形式的实在身份信息认证。用户不提供实在身份信息，或者冒用组织机构、别人身份信息进行虚伪注册的，不得为其提供相干服务。
手机短信接口被攻打的危害
手机短信验证被攻打是一种重大的平安威逼，它不仅会对服务提供商造成经济损失，还会对用户和企业造成诸多不利影响。当攻击者利用各种伎俩伪装成非法用户，大量发送短信验证申请时，会导致服务器负载过高，资源被耗尽，最终导致服务器无奈响应失常用户的申请。这不仅会影响服务提供商的名誉，而且会导致失常用户无奈应用短信验证服务，对企业的业务经营造成重大影响。此外，被盗刷的短信会耗费短信条数，导致企业不得不从新购买短信条数，减少了经营资金老本，会对企业造成经济损失。
注册账号离不开手机号，大批量注册社交账号，能够进行社媒营销、网络推广、数据收集等。随之而来的是一些潜在危险，如滥用、虚伪信息流传等。社交账号更是接触宽广上当对象的最佳媒介，不法分子利用社交平台进行“杀猪盘”式欺骗，通过深刻交换、介绍“投资渠道”或参加赌博等形式骗取钱财。此外，不法团伙还会利用这类社交账号进行推广引流，退出各种社群，公布招聘、募捐、代购等引流文案，吸引其余微信用户关注，再逐步引其上钩。而不法团伙量注册社交账号，利用虚伪的手机号逃过实名认证环节，就是规避警方的追踪。
通过手机号短信验证，辅助实现社交账号的注册以及实名认证。大批量注册社交账号，能够进行社媒营销、网络推广、数据收集等。随之而来的是一些潜在危险，如滥用、虚伪信息流传、乃至进行网络电信欺骗等。
近日，央视《今日说法》栏目报道了山东淄博周村公安分局破获特大黑灰产案件的侦破过程。犯罪分子通过改机软件和大量手机号码来实现批量注册社交账号。改机软件可能批改手机零碎底层数据，以绕过账号注册平安审核零碎，非法获取账号的注册信息及短信验证码内容。犯罪分子通过批量社交账号，并将这些非法取得的微信号用于电信欺骗等违法犯罪流动。该案件共打掉犯罪团伙 10 个，抓获立功嫌疑人 135 名，查扣涉案资产 2 亿余元。这类案件不足为奇。浙江警方曾抓获非法倒卖社交账号的犯罪分子，通过非法手段获取电信运营商及互联网公司数据信息，非法注册社交账号上千万个，发售给境外犯罪团伙，获利数亿元。
社交 App 短信遭逢疯狂盗刷
依据顶象进攻云业务平安情报中心 BSI-2023-eezd 号情报显示，8 月一天的凌晨 4 点 15 分，某社交 App 的短信验证接口忽然蒙受大规模的短信验证申请，该短信验证接口的申请量霎时暴涨至日均申请量的 11 倍左右，其中危险拜访申请量更是高达 87%。这一轮攻打继续了简直一整天，直到次日的 13 点 50 分左右才逐步平息。
通过进一步分析线上攻打数据，顶象进攻云业务平安情报中发现了以下三个次要危险点：
大量安卓设施汇集拜访。 其中基于安卓设施 VPN 的拜访申请占比高达 20%。这表明攻击者可能应用了某些安卓设施作为攻打工具，并通过 VPN 进行拜访以暗藏实在 IP。这种行为不仅减少了拜访的匿名性，还可能绕过地理位置限度，使得平安监测更加艰难。
同设施高频次反复验证异样行为。 多款设施在短短一分钟内验证次数超过 20 次，显示出显著的自动化和批量操作痕迹。这种行为可能是攻击者试图利用验证接口进行批量注册虚伪账号或发送垃圾信息等非法操作。
国外 IP 地址拜访骤增。 该接口平时国外 IP 验证占比仅 3% 左右，但在攻打期间，国外 IP 拜访占比高达 14%。这一显著变动可能意味着攻击者应用了大量国外 IP 来进行攻打，以绕过地区限度或回避平安监测。这种行为不仅减少了攻打的隐蔽性，还可能导致难以追踪和定位攻打起源。
显然，这轮短信验证申请具备显著的针对性和歹意性。攻击者利用安卓设施、VPN 和高频次验证等伎俩，试图绕过平安检测和验证机制，以达到非法操作的目标。
社交 App 该如何防控威逼
企业短信接口遭攻打，须要采取有效的平安保护措施，以防止手机短信的滥用。顶象进攻云业务平安情报中心倡议在策略上做如下设置。
规定上的防护措施
设置短信发送工夫距离。 设置同一个号码反复发送的工夫距离，个别设置为 60-120 秒，在肯定水平上避免短信接口被歹意攻打。
设置短信获取次数。 限度某个手机号在某个时间段内获取短信验证码次数的下限，比方 24 小时、12 小时、1 小时不同次数等。
对短信调用 IP 进行限度 。设置单个 IP 地址某个时间段内最大的发送量，不过可能会造成误伤。
技术上的防护措施
IP 地址危险监测。 通过接入 IP 危险库，对用户关联的 IP 进行危险匹配，以辨认代理、秒拨 IP 等歹意行为的一种平安监测伎俩。无效地避免歹意用户通过代理或秒拨 IP 等伎俩绕过身份验证，实现对非法用户的爱护。
设施危险监测。 通过短信设施指纹识别技术，判断客户端设施的合法性，辨认是否存在注入、hook、模拟器等潜在危险，并疾速辨认刷机改机、Root、越狱等非法行为。设施危险监测。同时还能够监测同一设施屡次激活、同设施关联 IP 行为异样、同一渠道中老设施型号占比异样等维度，以无效地避免歹意用户利用破绽或模仿非法用户进行攻打或欺诈行为。
智能验证码拦挡 。在发送短信验证码之前，必须通过验证码的校验，避免软件自动化发送的一种安全措施。顶象无感验证提供短信发送的验证码辅助平安验证，可能基于发送者环境、设施、危险数据等数据及专属风控模型，预估可能呈现的异样操作，为平安运维提供危险决策数据，拦挡机器批量攻打危险。这种措施可能无效地避免歹意用户利用自动化软件进行批量短信攻打或欺诈行为。
风控引擎辨认。 通过防刷短信接口场景策略，辨认同设施关联大量手机号刷申请、同设施汇集高频拜访、同 IP 汇集拜访等维度策略，从设施危险、设施行为、IP 行为、以及用户行为等多维度危险辨认的一种平安监测伎俩。顶象 Dinsight 实时风控引擎风控引擎辨认可能基于危险数据和专属风控模型，对异样操作进行辨认和拦挡。
针对这种短信验证接口的攻打，社交 App 经营方须要采取综合措施来增强接口平安和用户行为监控。只有这样，能力有效应对一直变动的威逼和攻打，保护社交平台的稳固和平安。
业务平安产品：收费试用
业务平安交换群：退出畅聊
