来源： 北京日报

　　凌晨，突然发现手机信号从4G降为2G，接收到来自银行、支付宝和移动公司的各类短信验证码。随后，银行账户被转空、支付宝余额被转走、手机自动订购了一堆无用的增值业务……这并非科幻电影中的场景，而是现实世界中短信嗅探设备对手机用户实施不法侵害。

　　嗅探：犯罪分子“隔空取物”

　　今年8月，一位新浪微博网友向警方和相关金融机构报案：凌晨2时至5时，手机先后收到100余条来自支付宝、京东金融和银行等金融机构的短信验证码，相关账户内的余额及绑定银行卡内的余额全部“凭空蒸发”。

　　事后经安全技术专家鉴定，认为这是一起较为典型的利用短信嗅探技术实施财产侵害的案例。据中国电子技术标准化研究院技术专家何延哲介绍，短信嗅探技术是在不影响用户正常接收短信的情况下，通过植入手机木马或者设立伪基站的方式，获取用户的短信内容，这其中就包括来自银行、第三方支付平台和移动运营商的短信验证码。

　　公开报道显示，近期，全国已有多地破获诸如利用短信嗅探技术使用他人金融账户购买虚拟物品实施销赃的相关案件。

　　网售嗅探设备“包教包会”

　　记者在互联网和社交软件搜索，发现大量嗅探设备交易帖和交流群。记者添加了尾号为0960的QQ用户。嗅探设备价格不菲，对方称，可通过傻瓜式教程“包教包会”。

　　一位售卖设备的卖家告诉记者，他们有一个专门的工作室，有人负责制作硬件，有人负责软件编程。

　　有卖家提醒记者，要遵守“行规”。例如，在盗取他人话费时，一天盗取的话费上限不能超过3000元。

　　还有卖家给记者发来了大量的照片和视频录像，证明所售卖的设备真实可靠。在一段视频影像中，嗅探设备正在运行，对方还演示了如何操作软件，并成功截获了一条发自银联的短信验证码。

　　专家建议加快淘汰2G网络

　　何延哲表示，在2G通道下进行的短信和通话信息使用明文传输。为成功劫持信号完成短信嗅探，不法分子有时还会干扰3G和4G信号，强制让用户“降维”到2G网络状态。

　　腾讯安全玄武实验室负责人于旸建议，用户可以要求运营商开通VoLTE功能（一种数据传输技术），让短信通过4G网络传输，防范无线监听窃取短信。

　　于旸表示，在网络安全领域存在一个“不可能三角”，即无法同时实现安全、便捷和廉价三个要素。从短信嗅探技术盗刷他人金融账户的案例来看，目前，被多数金融机构采用的基于账户登录密码和短信验证码的“双因子安全认证”虽然方便，但在该环境下有失效风险。

　　何延哲等业内专家建议，通信运营商应考虑加快淘汰2G网络技术，确保用户的短信和通话内容不被他人截获窃取。此外，有关专家建议，在“双因子安全认证”出现漏洞的情况下，包括银行和第三方支付平台在内的金融机构应加强安全因子的多重验证，推出更为完善可靠的校验手段。

　　（据新华社北京10月18日电）