一、钓鱼短信盯上银行用户
据美国网络安全公司 proofpoint《2020 State of the Phish Report》数据显示，受疫情寰球大风行影响，2020 年寰球钓鱼短信攻打的增长率超过 300%。而其中，针对金融机构的网络钓鱼攻打占比最大，占所有攻打的 22.5%。而在国内，这一比例更是高达 26.88%：
近期「混充银行短信钓鱼」案件频发，中国银保监会也紧急发文，就近期混充多家银行名义发送服务信息的短信钓鱼欺骗行为进行危险提醒：
种种迹象表明，黑产团伙曾经盯上各家银行的用户，这将严重威胁到用户的财产平安，并对各大银行的品牌形象造成极为顽劣的影响。
二、短信如何成为黑产敲门砖
早在 2012 年，寰球每天有将近 19 亿条文字讯息通过 WhatsApp 等实时通信软件传送，而传统短信则仅有 17.6 亿条。从那时起，每年都会有人喊出「短信已死」，后果人家非但没死，每天还变着花色，轮流轰炸你的手机：
- 紧迫感下的新商机
营销泛滥的当下，流量转化老本越来越高，以槽点最多的开屏广告为例：
这种正点率极高的设计，就是为了让点击率能冲破行业 12% 的下限。而短信则不同：
Mobile Squared 的数据称，在所有营销渠道中，近九成的短信会在被收到后的三分钟之内被关上浏览，这一点是其余任何间接营销渠道所无法比拟的。
在独有的紧迫感下，短信催生了新的商机。除惯例的短信验证码、服务类短信告诉外，越来越多的银行应用文本音讯进行新客营销，老客促活。越来越多的银行用户开始习惯，以短信文本音讯与银行进行交互。而在不经意间，银行也帮忙黑产团伙造就了用户习惯：
「在紧迫感下，银行用户参与度高，并较大概率会对短信内容迅速采取行动」
完满的钓鱼攻打环境，黑产团伙只须要模拟各大银行定期通过短信与用户互动，便可施行钓鱼短信欺骗。
- 千亿规模的黑产市场
依据 FBI 旗下互联网立功投诉核心（IC 3）的一份调查报告显示，在过来的三年里，全美因钓鱼攻打所造成的损失，超过 260 亿美元。而在我国，2020 年以来，仅凭拦挡下来的钓鱼欺骗信息，就为大众间接防止了将近 1200 亿元的经济损失。
在美国，摩根大通银行作为金融畛域代表，与 Netflix、苹果公司入选最受「钓鱼短信」模拟的热门品牌。而「混充银行钓鱼短信」威逼，早已蔓延寰球：
在国内，包含：民生银行、华夏银行、招商银行、众邦银行、贵州银行、嘉兴银行、湖州银行、昆仑银行、郑州银行等在内的多家银行纷纷通过官网渠道向用户推送危险提醒，对假冒银行短信的新型欺骗手法进行预警：
三、钓鱼攻打背地的黑灰产
网络钓鱼倒退历程
钓鱼式攻打（Phishing）作为最早的网络攻击类型之一，其历史能够追溯到上个世纪 90 年代。随着挪动互联网的倒退，传统钓鱼攻打下又演变出挪动钓鱼攻打，其中短信钓鱼攻打（Smishing）就是传统钓鱼式攻打（Phishing）的变种：
- 网络钓鱼技术最早呈现于 1987 年；
- 首次应用「网钓」（phishing）这个术语是在 1996 年，该词是英文单词钓鱼（fishing）的变种之一，大略是受到「飞客」（phreaking）一词的影响，意味着放钱钓鱼以“钓”取受害人财务数据和明码；
- 2000 年，通信信息欺骗由台湾从沿海逐步向内地倒退，并迅速在国内倒退蔓延；
- 2002 年，驰名黑客凯文·米特尼克推出一本对于社会工程学的畅销书，名为《坑骗的艺术》（The Art of Deception）；
- 2004 年，美国联邦贸易委员会提交了涉嫌网钓者的第一次起诉；
- 2012 年，中国首例入刑的「伪基站」案件呈现；
- 2013 年，短信拦挡木马利用伪基站流传开始在全国范畴内暴发；
- 2016 年，罗庄徐玉玉通信信息欺骗猝死案产生，引发社会关注；
- 2016 年，美国总统大选期间，希拉里团队遭逢钓鱼攻打，邮件信息泄露成为要害转折点；
- 2018 年，约 96% 的新加坡企业遭逢过网络钓鱼攻打；
- 2020 年，受疫情影响，网络钓鱼攻打激增 600%
作为挪动威逼的一部分，「钓鱼短信」攻打已成为当下互联网的重要威逼。而随着各类信息及数据泄露事件的一直产生，包含：姓名、手机号、银行卡号与身份证信息等一套残缺的公民隐衷信息，对黑产而言，已触手可得。
BAAS 模式下的新型钓鱼攻打
随着社会对钓鱼攻打的关注，传统的攻打伎俩逐步为用户所熟识，简略的信息诱骗和类似网站内容的坑骗曾经很难胜利实现钓鱼攻打：
成本低，危险小，广撒网，多敛鱼的模式已不具备劣势，黑产转而向专业化、组织化以及分工粗疏化发展。一条由包网服务、短信通道、盗刷通道、游戏代充等多个黑灰产业链独特参加的钓鱼短信欺骗组织逐步衰亡。
1. 钓鱼网站：
作为欺骗的关键环节，这块根本也是除了数据外，黑产另一项硬收入。包含：仿冒银行域名抢注、各大银行官网的模拟、到大量的适配手机界面的钓鱼网站以及购买美国或者香港免备案服务器进行搭建后制作拦挡程序。搭建一个残缺的钓鱼网站下来，五年前的价格大略在上千元。
随着分工越来越细，包网服务商 呈现，他们为黑产提供包含：搭建钓鱼网站、购买域名、服务器租赁甚至网站保护在内的全套服务。为晋升竞争力，服务商还开明了各类后盾管理系统，为黑产组织提供「一站式钓鱼攻打服务」：
2. 精准数据洽购
为了晋升钓鱼短信转化率，升高经营老本，黑产会向「数据贩子」购买数据。而数据商通过各种渠道，可能拿到各种行业的用户数据，其中以金融行业数据最为热销。通过黑市、暗网论坛以及社交媒体进行交易，优质的一手数据，依照 1 万条算，单价个别能到上千元。一旦黑产把握了银行用户的实在信息，如姓名、手机号、身份证、银行卡等重要隐衷信息后，钓鱼短信的破坏性将失去质的晋升。
3. 伪基站发送钓鱼短信：
为了晋升反侦察能力以及机动性，伪基站设备也在不断更新，由固定式变为移动式，由大功率变为小功率，由大体积变为小体积，使得守法犯罪分子携带更加轻便并实现挪动攻打模式，比方，以每小时 500 元左右为酬劳或以单干分成的形式，让人带着设施穿梭于闹市区以及大型社区，「打一枪换一个中央」。
当初，国内各大运营商和短信平台的风控机制越来越严格，发送这些钓鱼网站被拦挡的概率越来越大，于是有些黑产开始用国内短信通道来发送信息，躲避审核。这些国内短信通道也有专门的公司提供，个别 5000 条起发，每条 3 - 4 毛钱。
4. 出料
当用户上钩后，黑场会将钓鱼网站后盾所收到的数据进行筛选整顿，利用各个银行的在线快捷领取性能查问余额。而后，间接生产、进行转账或第三方领取生产，而针对无奈将余额生产的，将会以余额的额度以不同的价格发售（大部分会打包起来以每条 1 元的价格进行屡次叫卖），余额微小的有时还会找人单干进行「洗料」。
5. 洗料：
黑产通过多种形式将「料」进行变现，个别开明快捷领取充值水电、话费、游戏币或者利用其余存在第三方领取转账接口和银行快捷领取破绽等，将「四大件」变成现金后，通过各种躲避追究的伎俩与合伙人按比例进行分账，日均支出都在 6 位数以上。
网络钓鱼威逼趋势
与此同时，钓鱼短信仍放弃着疾速的技术迭代与策略更新：
- 钓鱼短信模式更加丰盛
利用挪动通信、短视频平台、富媒体类等营销场景，钓鱼短信所承载的内容也将愈发丰盛。这些音讯，用于诱使用户下载欺诈性应用程序或关上指向明码窃取或欺诈性挪动站点的链接；
- 内容更加荫蔽
更具欺骗性的文本应用以及短链，向银行用户暗藏理论的欺诈目标。黑产利用非法 URL+ 字符模式 + 高防域名，让混充域名在挪动设施的小地址栏中仅显示该域的非法局部；
- 利用紧迫感
配合强调音讯的紧迫性以及很难抗拒的引诱，进一步晋升钓鱼短信转化率；
频繁产生的钓鱼攻打案件，正在造成各大银行线上用户的散失。赛门铁克的一项钻研表明，将近三分之一的银行用户示意，因为放心遭逢钓鱼攻打，而被迫放弃对网上银行的应用。
四、应答倡议
随着钓鱼短信攻打的伎俩日益简单，事件继续高发，让银行以及用户遭受巨大损失，重大影响用户财产平安，并逐步失去对银行的信念。作为交互平安畛域服务商，极验将从企业与用户的交互视角，扫视钓鱼短信攻打：
- 银行金融机构
早在 5 年前的 KCon 黑客大会上，网络安全专家 Seeker 在《伪基站高级利用技术——彻底攻破短信验证码》中曾明确示意，短信验证码这种平安认证机制可被轻易冲破，理当尽快放弃并应用更平安的认证机制。
GSM 伪基站的搭建：硬件：一般 PC、USRP B2X0 + 天线（或 Motorola C118/C139 + CP2102）。软件：Ubuntu Linux、OpenBSC。OpenBSC：由 Osmocom 发动并保护的一套高性能、接口凋谢的开源 GSM/GPRS 基站零碎。
针对短信验证码存在的缺点与安全隐患，具体表现为：
- 基于 2G 网络的短信平安验证「短信验证码」自身存在缺点：应用单向鉴权技术，且短信内容以明文模式传输；
- 目前银行 App 在登录、领取甚至是批改明码等要害业务环节，过于依赖「短信验证码」这一平安短板；
- 当手机短信被拦挡，这套身份认证体系将变得分外软弱；
显然，如果仅仅是依附短信验证码来确认用户身份，具备肯定的安全隐患。对于平台而言，除了短信验证之外，在波及大额领取及批改用户交易明码等业务场景，减少新的验证伎俩迫不及待。
代替计划：脱敏手机号 + 免短信登录
认真钻研黑产整个钓鱼短信攻打环节，短信是黑产冲破银行防线的重要突破口。而在银行金融机构的要害业务关节，极验「无感本机认证」正在代替传统短信验证码：
作为身份校验的降级计划，极验牵手全国三大运营商推出「无感本机认证」。由运营商网关间接验证用户 SIM 卡中的手机号码，全程加密，代替短信验证码。从而让不法分子无短信可嗅探，从本源解决短信嗅探的危险。同时，也大大简化用户操作流程，用户体验更加顺畅，无效进步转化率，帮忙银行金融机构优化认证流程，助力拉新、留存、促活。
- 银行用户
而对于银行用户，晋升隐衷安全意识，就能抵挡超过一半的平安危险：《2019 年数据泄露老本报告》中有一组数据，49%的数据泄露是人为谬误和系统故障造成的，而这都让他们成为网络钓鱼攻打的牺牲品。
侥幸的是，短信网络钓鱼攻打绝对容易进攻。你会发现，只有什么都不做，通常能够确保本人的平安。所以当遭逢疑似钓鱼短信的时候，无妨冷静下来思考三个问题：
- 音讯来自谁？
- 他们要我做什么？
- 哪些证据反对该信息？
当然，如果遭逢短信嗅探，则要迅速做出响应，例如：
- 发现手机短信验证码发送频繁的状况；
- 如遇到手机信号较差、无 4G 仅有 2G 的状况；
- 发现手机忽然变回 2G；
作为银行用户，进步对挪动安全事件的关注度和敏感度，对与集体关联的事件进行紧急响应，做好预先止损的工作。一旦遭逢以上状况，提高警惕，必要时可采取关机、启动航行模式等应答措施应答。
能够预感，在之后数年，挪动网络安全仍然不容乐观。隐衷泄露和挪动攻打的泛滥和交融还会进一步加深，并导致网络攻击威逼泛滥进一步加深。反抗还将持续，不论是企业还是消费者，唯有一直强化安全意识，晋升本身反抗危险能力，并做到及时排除危险隐患，才是不变的真谛，从而让本人远离危险。