从偷手机到窃取个人信息实现多平台诈骗的黑色产业链

关于作者：

信息安全老骆驼，10年以上网络攻防经验，多年金融信息安全服务经验。 理工科直男，不擅长写作，在信息安全行业一直默默无闻。

近日，因家人手机被盗，经历了与一伙专业、经验丰富的犯罪团伙的持续斗争，他们利用窃取的个人信息盗取他人银行账户资金。 我把这比作一场战争，显然我输了。 失败并没有那么糟糕。 但能以一己之力与分工明确、战术专业的团体作战，并在战败后分析揭露对方的攻击方式和路径，是一种荣幸。 第一次写这种文章，没有华丽的文字，只有期刊的叙述，但情节跌宕起伏，曲折，有心的朋友可以当故事来读，那些太罗嗦的可以直接看文末的总结。

这篇文章的发布，可能会让一些人不高兴，但与广大民众的财产安全相比，这算不了什么。 如果我不把实情告诉大家，我相信会招来更多的人，一头雾水，钱就亏了。

活动回顾：

9月4日

7点30分，我正带着大孩子去理发店理发。 老婆过来告诉我，她推老二去小区门口买水果时，婴儿车包里的手机被偷了。 眼看P40pro上市，一年一度的换机季又来了。 说丢了之后，又用另一部手机拨，结果对方接通后关机。 我不知道当时我是怎么想的，但我觉得也许有机会把它拿回来。 手机卡挂失没有第一时间挂失etc卡怎么插卡正确图片，设置了在线通知华为取回手机（这个草率的决定导致了后来的悲剧）。

8:51 对方取出卡插入另一部手机开机。 后来，他通过查看通话和短信详情才知道。 只用了一个多小时。 对方从高新区直奔成华区。 情况相当极端。

9点24分，家人发现被盗手机可以拨通，但我这边的“查找我的手机”显示还未在线，但没过两分钟我的手机就收到了手机已拨通的通知成华区在线，一回头发现手机瞬间界面，设备解绑，顿时有种不好的预感，一般小偷不会这么快这么熟练的。 立即拨打10000挂失手机卡，但此时电信业务密码已经不正确，通过验证身份证号码并提供我上个月联系的三个电话号码挂失。 开始采取应急措施，登录手机银行赎回所有可立即赎回的理财，将当前余额全部转入我的账户，联系多家银行冻结信用卡，支付宝和微信转账，删除所有绑定信用卡考虑到有些储蓄卡余额为0，对方不知道我的卡号，所以我没有挂失。

9时48分，家属称电话还能接通，立即拨通10000电话询问为何仍能接通。 他们回复卡正常，继续挂失。

9:55 越想越觉得不对劲，于是又拨通了10000，问之前挂失失败的原因是什么。 收到回复说第一次挂失成功，后来又取消了。 还有这种操作，打电话取消挂失。 这是我第一次知道。 常识认为，如果我挂失了，我应该带着我的身份证去营业厅取消挂失，包括稍后挂失。 警察在听到报告后仍然可以打电话。 脱钩也很意外。 但显然对方是有备而来。 在后来的分析中，我认为连偷手机的时间都是提前定好的。 对方对电信的业务流程了如指掌。 这也让我后来的补救措施变得非常被动。 .

根据银联卡绑定信息，我继续给银行打电话，一张一张冻结储蓄卡。 由于建行etc信用卡已经解绑，第二天又要上高速，所以也没在意。 期间遗失了妻子10多年前发的一张建行卡和一张工商银行卡，再次被掩埋。

0时23分，发现支付宝和微信已陆续下线。 重要的是登录的设备和丢失的手机设备是同一型号的！ 完了，遇到高手了，华为锁屏密码解开了。 马上申请冻结（后来发现已经晚了，对方操作的很快，这时候支付宝的手机号已经换了，怀疑多人同时操作。） 在同时，申请冻结微信，立即登录京东、苏宁、国美等常用APP更改关联手机号。 过了一会儿，我的手机收到了京东的短信验证码。 感觉接下来的几个app应该存起来了（小蜜信心满满，结果还是被打脸了），就喘口气休息了。

分析对方的意图，我认为如果我不能从所有银行卡和支付余额中偷钱，我可能会用我妻子的信息申请贷款，但同时我认为贷款可以只能放在我的银行卡里，而且我需要有银行卡密码才能转出（长期以来我的支付密码和银行卡密码一直是一样的，我什至忘了这两个密码不是一回事。后来才知道对方用了魔术，银行卡密码和支付密码根本不会影响对方），应该问题不大。 此外，期间因电信手机卡“挂失”和“注销”而紧张，又遗漏了一张成都银行社保金融卡。

第二天晚上，我挂失，对方不挂号，在10000号上来来回回几十次。 至于我为什么坚持，是因为我觉得虽然我保留了重要的应用程序和银行账户，但我仍然看不到对方想要做什么。 不过，既然对方这么执着要给我解锁手机卡，那肯定是有急事。 抱着敌人要什么，他们就不会给的信念，我坚持了一夜。 这期间，我们很被动etc卡怎么插卡正确图片，因为抓捕人知道什么时候会摘机，所以我们只能躺在床上不停地拨打被盗的电话号码，第一时间拨打10000号码挂失。

中间多次拨打10000客服电话告知手机被盗，不法分子正在解绑手机卡作案。 我让他们通知领导，批准后冻结手机卡，明天早上去营业厅换卡，都被拒绝了。 由于一晚上几十笔生意，还被客服叮嘱，“你们自己的私事，不要占用公共资源”，不知道对方是怎么忽悠客服的。 我问有没有其他办法自己挂失，回答没有。 我只能继续坚持。 最后不知道客服是不是受不了我们了。 10000条短信告诉我可以在网吧自己办理，登录电信网吧，试试用软件自动挂失。 但是，因特网馆的一些安全限制，使之成为不可能。 使用软件练习自动化挂失流程，继续手动操作。

我在5:00发现互联网服务有关闭短信的业务。 心想，如果对方是高手，我关了对方说不定马上就会发现，但也有可能对方只是流水线上的犯罪剧本操作员。 无论如何，你可以赌一把。 对我来说没什么损失，把打开短信的步骤加到他们身上。 （后来查看短信详情时，发现是关闭短信功能的操作打断了他们后续的犯罪行为，否则损失肯定更严重）

9月5日9点，开车送老婆到营业厅开门。 9点08分，补卡完成。 婆婆打来电话说我老婆的电话接通了，但是接电话的是个男人。 我回答说可能是营业厅的。 售货员接了过来。 几分钟后，老婆办完卡回来了，问婆婆刚才的电话是怎么回事。 她说她没有接到电话，手机一直在她手里。 经查，确实没有通话记录，手机呼出也正常，短信收发也正常。 继续拨打10000，询问手机是否开通呼叫转移，得到确认回复，验证身份证后关闭业务。 关机前，向接线员索要转移的电话号码（准备提交，以防以后要报警）。

开始恢复位置并检查是否有损坏。 检索了支付宝、微信、云闪付，发现除了支付宝的手机号换了，但是因为账户本身被冻结了，所以没在意。 云杉福管理的银行卡的交易记录基本没有异常，只有一张工行卡多了280元（奇怪），好像是从千代宝转过来的，感觉奇怪，下载了个app想想用手机号登录千代宝，看到APP异常，无法登录，暂时不管了。

约了朋友泡了峨眉山的温泉，喝了一瓶乐虎，一瓶红牛，一瓶咖啡，就出发去峨眉山了。 途中，我继续查看各个支付账户，似乎没有什么异常。 下午抵达峨眉山，泡温泉池休息，恢复体力。 打算晚上到电信营业厅查明细账单，看看对方做了什么。

晚上查明细前，老婆习惯性登录支付宝输入手机号，发现密码不对。 我赶紧用手机找了回来。 一张被我们遗忘的建行卡，一张建行ETC信用卡（办完后一直在抽屉里吃灰等），账单里有充值消费记录，还有被封号后的充值退款记录支付宝的风控。 这时我们才发现原来绑定银联的信用卡被对方解绑了银联，所以没有发现任何异常。 9月5日凌晨4点左右，我登录建行网银，发现一条美团转账5000元的记录。我蹲下来，然后查看etc信用卡，上面有几千条各种刷卡、充值的记录，几千条银联转账记录。 最坏的情况还是发生了。

下载完短信和通话明细后，我开始分析通话和短信，一一核对。 打电话的基本上都是银行和银联。 我在短信记录中查到的源号是社保局、华为、腾讯、银联，不知道106开头的服务号是哪个机构的，比如易宝、微信、支付宝等。 , 分析没有结果。

两人开始从头到尾回忆细节，开始一一分析。 这个时候，资深渗透测试工程师的优势就体现出来了。 对方第一次上网的时候，就已经把卡拔出来插到另一部手机上了。 从短信发送记录可以看出，他向手机发送了一条短信，并获取了本地手机号码。 然后联系电信修改服务密码，用手机号和短信验证码修改了华为密码，在原设备上注销了账号。 然后解开华为锁屏密码，进入手机。 有几件事没有意义：

1.电信服务修改密码需要身份证号

2.没有从华为密码网站解锁锁屏密码的功能。

第一个我觉得可能是我从社工数据库查到了身份证号，第二个是根据百度的结果，老版华为emui账号登录后可以远程锁机，设置新密码，然后使用新密码解锁屏幕，进入手机（此操作未实际验证）。

然后对方还修改了支付宝登录支付密码，微信密码，中间还改了支付宝手机号（为什么到9月7日晚上才分析到​​这个操作才出现），绑定了银行卡我们错过了支付平台。 账上消费。 这是另一件没有意义的事情：

绑定卡支付需要银行的完整卡号，如何获取？ 一开始以为可以去问问银行的客服，但是面完之后，我做不到；

但是在查看支付宝的银行卡管理功能时，发现如果有支付密码，可以使用支付宝内置的卡号查询功能获取银行卡的完整卡号。 这个功能好久没用了。

但是还有一点说不通：

重置支付密码需要的条件（1.人脸 2、短信+密保问题 3、短信+银行卡信息 4银行卡+密保问题），如果没有照片，人脸应该不行，密保问题我们设置的基本不会被猜到，所以只有短信加银行卡（其实最后发现对方不仅可以人脸验证，还可以短信加银行卡验证，连支付宝都创建了一个自己新的，支付密码也是自己设置的）。

那么剩下的步骤就比较清楚了。 绑卡通过美团申请贷款，借钱到建行储蓄卡，然后在APP前支付绑卡结果，通过购买虚拟卡在线充值消费。

剩下的就是苏宁金融的刷卡消费了，我还是持怀疑态度的。 我们非常确定他们是如何获得我的信用卡 cvv 的。 etc信用卡自申请以来从未离开过抽屉。 从银行客服那里最多能知道的就是信用卡的有效期。 （后来发现支付公司现在绑定信用卡根本不验证有效日期和CVV，都是简单粗暴的身份信息+卡号+预留手机号，有的甚至不使用预留的手机号码）。

整理好所有资料后，准备联系各家支付公司商量说明。 一圈下来，结果是：

银联云闪付态度很好，说第二天会有人联系你

联系不上财付通

美团贷态度含糊其辞，质问他为什么简单验证了身份证就放贷了。 他只是说很多其他公司也有这种贷款产品。 嗯，看起来很有道理，大家做的也是对的。

苏宁金融暂未回应

准备一些材料，包括电话、短信记录、银行对账单等零散的材料，准备赶回去报警。 毕竟事情发生在小区门口，团伙作案，很有可能会再次作案。 此事整理后发到机主群，让大家未雨绸缪，提醒大家设置sim卡密码。 众人也是一惊，不过对于身份证号和银行卡号是怎么弄到的，都表示疑惑。 中间的手机也陆续收到了数个财付通的支付验证码，但是登录账户后却没有发现有绑定卡。

想清楚了，已经是凌晨四点多了。 一早赶往成都。 路上的云闪付主动联系我们，要求我们报警后提交报案回执等材料。 看来我们可能要赔偿了。 美团也打电话推卸责任，但还是要我们提供证据材料给他们。 派出所的民警听了我们的经历后很惊讶，说从来没有遇到过这种人偷手机。 我应该是第一个报告这个案子的人。 老婆进去做笔记，花了好几个小时。 出来的时候把里面的情况说了一遍。 警察叔叔们纷纷表示，“这不可能”，“一定是你手机里的银行卡信息被泄露了”，“你是不是把身份证照片放在手机里了”，还有做完备案，又要我们打印银行对账单，好几家建行都关门了，只好等第二天去取report receipt。

晚上回去的时候，夫妻俩在电脑前不断回忆所有的细节，贯穿整个过程，必要时还用我的各种APP和账号进行实验，验证自己的分析判断。 虽然充了手机卡，冻结了银行卡，找回了带支付功能的软件，改了各种密码，但总觉得哪里不对。 突然收到了财付通的支付验证码请求，然后关联到之前的疑点，一下子就想通了。 他把我们的银行卡和其他支付账户绑定了，包括他用手机号登录苏宁，发现登录的是新创建的苏宁账户，包括支付宝。 ，这将在后面讨论。 也就是说，除了这些APP之外，我肯定在很多其他APP上用自己的信息创建了新账户，绑定了银行卡，通过了实名认证，并自己设置了支付密码。 一个一个查看APP，发现支付宝、苏宁、京东都是用我们的手机号创建的，里面有消费记录。 消耗。

问题又来了。 他们用我的手机号创建的账户，我们可以一一尝试，但我们不能猜到用其他手机号创建的账户，比如银联、财付通、苏宁金融等。 我们在流水里找到了一条转账消费记录，但是找不到对应的账号。

让我们回到上面的问题：

支付宝查询绑定银行卡信息或绑定新卡需要支付密码，重置支付密码需要短信+验证银行卡信息

在整个过程的开始，我需要我的身份证号码。 期初我判断是通过社工数据库，但经过分析这次操作，整个黑产团队的手法基本都是各个银行和支付公司使用的常规手法。 如果是业务流程处理，那么使用社工数据库查询，极有可能得不到身份证；

部分支付APP新建账户后的实名认证需要进行人脸认证。 如果可以用手机自拍或者之前存储在华为云中的照片，用技术处理的方法对照片进行处理绕过人脸识别（参考2020年新闻《利用照片伪造动画头像“骗”支付宝的人脸识别，一犯罪团伙盗走支付宝4万余元“羊毛”）

综上所述，需要有一个地方，可以通过手机号和收到的短信验证码，获取银行卡的姓名、身份证号、卡号。

我觉得我这几天有点不舒服。 当我遇到这种不幸时，我并没有生气、沮丧或慌张，而是出奇的兴奋。 几天后几个小时没睡，不停的研究分析，几乎研究了对方的操作模式，发挥了IT男追根究底的特点。

算了，继续冷静分析。 与犯罪分子手头的行为步骤关系最密切的是电信营业厅获取的短信和电话记录。 挖出短信记录后，除了第一条记录是歹徒发给他的手机号外，接下来就收到了两条来自12333社保局的短信。 前两天没注意，还以为是老婆公司发来的要交社保的短信，仔细分析后发现不对劲。 一是短信发送时间可疑。 非工作时间发社保缴费通知书不正常，连续发两份也不正常。 这就是突破点。 社保系统里肯定有身份证信息。

打开四川省人力资源和社会保障厅网站，看到一个四川省人力资源和社会保障厅APP下载二维码。 下载并打开应用程序的那一刻，你就会明白，“快速登录”、“短信验证码”、“电子社保卡”这些关键词让我眼花缭乱。

发送短信验证码登录。点击“电子社保卡”，发现需要社保密码，继续忘记社保密码，短信验证码重置社保密码，全部恰好是12333的两个短信验证码，然后展现在你面前的内容就直接解释了上面三项的混淆。 身份证信息，身份证照片，社保金融卡的银行卡信息，有了这些东西，一切都可以顺利进行。

回到之前的支付宝卡绑定流程，“无需手动输入卡号，即可快速绑定卡”。 卡片绑定功能好几年没用了，现在这么高端。 选择银行点进去后，会直接出来一个我在该银行下的所有银行卡的列表，选择一张信用卡，然后绑定卡。 CVV和有效期只是浮云。 人们只是用一个简单的短信验证码来验证。 这样就可以很方便的通过支付宝查询自己所有银行卡的卡​​号。

最后总结分析一波：

这条黑色生产链的全貌如下：

前线扒手在特定时间选择目标：年轻人、手机支付频率高，趁对方分心时出手。 时间;

拿到手机后，迅速送到团伙窝点，迅速完成身份证信息获取、电信服务密码、手机厂商服务登录密码修改，一下子让被害人陷入被动；

获取所有银行卡信息，利用技术手段绕过活人人脸识别验证，在各平台新建账户，绑定受害人银行卡

选择几家风控不好的支付公司，开始申请网贷。 贷款到账后，给虚拟卡充值，购买虚拟卡，通过银联转账转账。

保留新建支付账户的权限，如果没有被发现，后面可以继续盗取资金

在这一系列的过程中，对方有几点是我比较信服的：

全程使用正常业务操作，但各机构“弱验证”相关业务串连在一起，造成巨大损失；

应该是通过技术手段通过的人脸验证，利用图像处理技术绕过活体人脸识别验证；

团队的分工合作能力太强了。 感觉过程中用了最快的速度，却总是晚了一步。

注意隐蔽，留好退路，包括删掉我云闪付的一些卡，不让我查明细。 通过创建新账户，如果我没有找到，我会抢着解冻银行卡，以后还会有第二波攻击。 ;包括我换卡后修改服务密码前设置呼叫转移

分析完罪犯，再来看看全程参与的机构的“罪名”。 其实把这个环节的每个点都放到对应的业务节点里问题不大，但是手机丢了之后，把这些点都放在一起，问题就变大了：

四川电信：整个过程我觉得是最负责任的。 挂失解赔的风骚业务规则让我无语。 既然挂失了，就不能认为手机已经不在失主身边了。 有时间限制还是需要营业厅办理？ 就算之前的失误都不管了，同一个手机号半夜来来回回报了几十遍。 用业务话术敷衍客户，“对不起，我们有固定的挂失业务流程，只要对方能提供服务密码，就可以正常解决”。 我们全家就是拿着电话跟不法分子通宵不睡，最后造成了经济损失。 四川电信跟进投诉。

四川省人力资源和社会保障：大家可以理解它的作用。 两条短信验证码泄露了所有关键信息，但我也说不上他犯了什么罪。 毕竟他们本身不是金融机构，个人信息如何保护也没有标准。 但这件事并没有那么简单。 如果把四川人社换成XX人社或者四川XX可能也是一样的结果。 这个黑产链条在设计的时候，有很多种获取ID号的方式。 至少我在这里。 从网上下载了几个本地社保APP后，可以找到和四川人社保APP一样的登录密码找回，使用的是手机短信验证。

3、华为：其实你把华为换成小米，结果是一样的。 只能说找回密码业务的验证太简单了，而且还有一款emui 5.0的手机可以远程解锁锁屏密码。 这个我没有验证过，但是由于我的支付宝被挤下线 提示对方使用的手机型号来判断，大概率是有可能的。

4、支付宝：先不说为什么同一个身份信息可以注册两个账户。 你的快捷卡绑定加快了卡绑定的便捷性，但是你考虑过安全性吗？ 当然，支付宝的风控很强，确实发现了异常交易，收回了资金。 但绕过人脸识别进行实名认证也是事实。

5、美团：你想发展业务，放宽贷款限制。 这个我倒是无所谓，但是你能做好贷款审批的风控吗？ 凌晨4点有贷款正常吗？

6、苏宁金融：在所有涉及的支付机构中，态度最差的一家。 当案件发生时，接到用户举报后首先想到的就是推卸责任。 “你报案了吗？如果警方有需要，我们会做好配合的！唉，你的经济损失，只能由你来承担了。” 中间打了两个电话，基本的语气是这样的。 它也是一家支付公司。 支付宝风控可以识别异常刷单，苏宁金融完全没有察觉。 一个新注册的账号，凌晨三四点挂卡，然后购买各种虚拟卡，话费充值等等不易被追查的产品，这不是属于高危异常行为吗？

7、银联云闪付：和其他支付公司一样，都存在卡绑定验证不严的问题。 不过，他们的态度还是不错的。 凌晨三四点，客服人员都能以极好的态度与我们沟通，让我们安心。 第二天，一位专员联系我们并告诉我们昨晚报告的损失报告不足。 他们发现我们还有其他损失，并详细说明了如何申请理赔。 第二天，他们的内部调查发现了一个新的。 尽快联系我们，让我们知道进展情况。

8、财付通：人工客服太难找，但风控还是有效果的。 这两天，在没有通知我们的情况下，陆续追回了几笔交易金额。

9、京东：不想说了，反正是“交易已经发生，损失自负”，还好只是一张100元的游戏充值卡。

10.百度对方刚好操作的时候我把短信功能关掉了，对方只绑定了银行卡，没时间消费，就不用理论了。

大多数支付机构基本上都有一个现象：让不同的手机号注册同一个实名认证支付账户，让两个账户绑定同一张银行卡，实名认证和人脸识别技术都被绕过了。 支付机构正在推广“快捷绑定卡”，速度快，点几下鼠标就可以绑定卡。 除了短信验证码，支付宝的快捷绑定卡也会验证支付密码，不过好像意义不大。 比如我的情况，支付账号是别人用我的信息创建的，支付密码也是他设置的。

说完他们，最后说说我们吧。 通过这几天的经历，不管中间的剧情有多少波折，我作为一个有10多年信息安全经验的老骆驼，都会被这样折腾。 我真的不希望每个人都有和我一样的经历。 提一下我认为我们个人可以做的最简单有效的防护措施：

在您的 SIM 卡上设置密码并为您的手机设置屏幕锁定。 这样一来，如果手机丢失了，就不用担心别人把卡拔出来插到另一部手机上继续使用了。 以华为手机为例：设置-安全-更多安全设置-加密和凭证-设置卡锁，选择手机卡，启用密码（此时默认密码为1234或0000），然后选择修改密码，输入原密码1234，再输入两次新密码，完成sim卡密码设置。

同时，如果遇到和我一样的情况，除了冻结所有银行卡外，还需要更换所有银行卡预留的手机号码。 同时，您可以登录网上银行或手机银行，使用快捷支付管理功能，查看所有绑定的那些支付公司，然后您可以尝试用您的手机号登录那些APP，可能会有得到意想不到的收获。 万一支付公司不理赔，你可以自己追回一点。 比如我在对方注册的苏宁账户上发现了一张购物卡，我还没来得及消费。

事情就这样结束了吗？ 不一定，9月5号重办手机卡的时候我就跟老婆说，以后这段时间要注意陌生电话、短信、微信。 对方要吃的肉被撕下一大块，他们手里有你的一些资料。 他们绝对不会甘心。 小心随后的网络钓鱼和电话诈骗。 这两天，她的手机开始收到可疑的短信，她也懒得去猜什么花样，直接无视。

我所经历的这个案例，其实和两年前新闻里报道的钱包丢了差不多。 对方使用被盗身份证去营业厅换卡，导致银行账户丢失。 目标是手机卡。 移动互联网的发展给我们的生活带来了巨大的改变，手机的地位也越来越高。 希望大家吸取我的经验和教训，未雨绸缪。 万一出事不要学我，手机卡挂失第一时间挂失。 , 所有银行卡。

黑鸟补充说：

PIN码（PIN1），全称Personal Identification Number。 是SIM卡的个人识别码。 手机PIN码是一种保护SIM卡的安全措施，防止他人盗用SIM卡。 如果启用开机 PIN 码，则每次开机后必须输入 4 位 PIN 码。

3次输入错误PIN码后，手机会自动锁卡并提示输入PUK码解锁。 您需要使用服务码拨打运营商的客服热线。 客服会告知您初始PUK码。 输入 PUK 码后，PIN 码将被解锁。 但是，输入 PUK 码的机会只有 10 次。 密码输入错误10次，SIM卡将被永久锁定报废。

苹果手机设置方法：进入【设置】-【手机】-【SIM卡PIN码】，点击打开【SIM卡PIN码】，输入当前SIM卡PIN码即可打开。 需要 PIN 码才能打开和关闭此功能。

安卓手机如何设置：进入设置-选择更多设置-找到“系统安全”，在系统安全里面有个sim卡锁选项，或者直接显示为运营商名称。 点击选择设置锁SIM卡，默认PIN一般为1234

上期：