如何防范补卡诈骗,保护您的手机号

补卡诈骗(俗称SIM卡劫持)不是黑客入侵您的手机。没有人破解您的设备、操作系统或应用程序。有人联系您的运营商,冒充是您本人,要求把您的号码转移到他们控制的SIM卡上——可能是营业厅里的一张新卡,也可能是几秒钟内就能通过App激活的eSIM。运营商照办后,您的手机随即掉线,从那一刻起,所有本该发给您的电话和短信都会落到对方手机上。

之所以号码本身就是猎物,是因为太多东西都绑定在它上面。银行一次性验证码、交易所提现、找回密码链接、公司聊天工具、快递确认短信——只要谁掌握了这条线路,这一切都会流向谁。攻击者手上通常已经有您的密码,来自某次数据泄露或钓鱼页面;补卡只是最后一步,把一个过时的密码变成一次真实的账户接管。

号码转移只有三条路径,而这三条路径都要经过一个真人:

• 营业厅柜台:凭一套说得过去的说辞,加上借来的或伪造的身份证件当面办理。
• 客服热线:客服人员按脚本核对出生日期、地址和银行卡后四位——这些信息早就躺在旧的数据泄露里。
• 内鬼:营业厅或呼叫中心的员工被花几百美元收买后直接办理转移,这就是为什么再完美的账户密码也不是绝对的防线。

同一种攻击在不同场合会被称为SIM卡劫持、SIM卡交换攻击、携号转网诈骗或换卡攻击。手法完全一样,区别只在于号码是转到同一运营商的新SIM卡,还是转到了完全不同的运营商。

补卡诈骗发生时手机会有反应,但很安静,从转移完成到第一个账户被洗劫,窗口期往往不到一小时。最可靠的信号是沉默:手机显示「无服务」或「仅限紧急呼叫」,而Wi-Fi依然工作正常。通过Wi-Fi的数据流量照常收发,所以在家用网络下,手机看起来完全正常,直到您真的想打一个电话。

留意以下这些信号,只要同时出现两个,就应该当作正在发生的攻击,而不是巧合:

• 突然失去移动信号,而所在地区并没有停机,您也没有更换位置。
• 运营商发来的通知,确认了一次您并未发起的SIM更换、eSIM激活或转移请求。
• 找回密码的邮件,尤其是您的主邮箱,而这些操作您根本没做过。
• 被踢出即时通讯软件——号码在新设备上重新注册后,WhatsApp、Telegram或Signal会把旧设备强制登出。
• 来自陌生地点的登录提醒,或者您根本没有打开的App却弹出了双重验证请求。
• 小额不明交易,用来试探银行卡是否还能用,然后才会尝试更大的一笔。

攻击者常常选在深夜或周末发起转移,这时运营商的反欺诈值班人手最少,手机没信号也很容易被当成没电了。如果手机在不寻常的时间段突然没了信号,不要先入为主地当成网络故障:把飞行模式打开再关闭,如果信号还是不恢复,立刻用另一部手机联系您的运营商。

这个页面后面几节讲的都是把损失降到最低。只有这一项措施能从源头上阻止转移发生:提前告诉运营商,没有攻击者拿不出来的凭证,这个号码就不能被转走。

这项功能几乎所有运营商都提供,但在不同市场叫法不同——有的叫号码锁定,有的叫携号转网冻结,有的叫补卡服务密码,有的叫SIM卡保护,还有的叫补卡验证密码。打客服电话时直接说出您想要的效果:不凭这组密码,不允许换卡,也不允许转到其他运营商,而且必须本人持身份证件到场办理。设置好之后,再把账户其他部分也收紧:

• 设置一个专用密码,不要在任何别处用过,更不要用生日、邮编或卡片上印着的任何数字后四位。
• 删掉密保问题,或者用密码管理器里保存的随机字符串来回答。您母亲的娘家姓是公开记录,您养的第一只宠物早就出现在您自己的社交动态里。
• 问清楚客服能不能越过这道锁,营业厅柜台是否也能绕开。诚实的答案才能告诉您这道锁到底值多少钱。
• 核对账户上的通知地址。如果确认信发到一个您早就不看的旧邮箱,您就失去了唯一的提前预警。
• 把您的号码从人肉搜索类网站上清除,别一开始就出现在容易得手的目标名单里——我们的保护真实号码隐私指南详细讲解了退出这些网站的方法。

监管确实起了作用。在美国,运营商自2024年起被要求在把号码转移到新SIM卡或新运营商之前,必须正确核实机主身份,并在收到此类请求时通知机主。一些欧洲和亚洲的运营商也执行类似的规则。但这些都堵不住内鬼这条路,这正是接下来两节的意义所在。

先假设补卡成功了。攻击者拿到您的号码后,到底能做什么?答案完全取决于您允许它解锁了多少东西。这一步的目的,就是让一个被偷走的号码变得毫无用处。

给您用的第二因素排个优先级,把能升级的账户尽量往前挪:

• 通行密钥(Passkey)和硬件安全密钥——完全不经过移动网络,补卡后的号码对它们毫无价值。
• 身份验证器App(TOTP)——验证码在设备本地生成,而不是发到号码上。把备用恢复码打印出来,离线保存。
• 服务商自己App里的推送确认——绑定的是App的安装实例,而不是SIM卡。
• 短信验证码——只在没有更好选项时才用的最后手段。

然后堵上几乎每个人都会中招的漏洞。就算换成了身份验证器App,只要同一个账户还留着「找不回账号?我们给您发条短信」这种找回方式,就等于白升级——攻击者会直接从您没设防的后门绕进去,前门反而没用。到每个账户的安全设置里,把手机号从账户找回选项里删掉,不只是从登录方式里删掉。

按攻击者会采取的顺序,依次检查您的账户。先是主邮箱,因为它能重置其他一切;然后是密码管理器;接着是银行账户和任何加密货币交易所;再往后是云存储、域名注册商和社交账号。我们关于如何在线接收一次性验证码的指南,讲解了把验证码从您的个人SIM卡上转移出去的具体做法。

有些服务确实没法彻底摆脱短信——不少银行、大多数配送平台、还有不少政府网站都是如此。这部分残留的风险,正是下一道防线要解决的。

攻击者认不出的号码,没法拿去补卡。在下手之前,他们需要知道您的号码、这个号码挂在哪家运营商名下,还要掌握足够多关于您的信息,才能在客服面前显得可信。这些信息全都来自同一个源头:您用了十几年、到处留过的那个号码,它早就躺在数据泄露、二手交易平台、外卖App和数据中介的档案里,紧挨着您的姓名、地址和运营商。

所以把角色分开。个人SIM卡留给家人、雇主,以及那两三家真正需要它的机构,再单独准备一条专用线路,给所有会给您发验证码的服务用。这条第二线路根本不挂靠在传统运营商名下,这样就等于把攻击路径整个移除,而不只是加了道防线:

• 没有营业厅柜台,也没有消费者客服热线能被一个生日加地址说服去办转移。
• 账户上没有实名信息可供调查或冒充——PrivacyNumber不要求任何身份证件,账单以加密货币结算,根本没有可供社会工程的素材。
• 不在挨着您姓名的那份泄露数据里。犯罪分子拿去和您姓名关联的是那个旧号码,它现在已经收不到任何值得偷的东西了。
• 真实、可拨打的号码,覆盖47个国家——银行和即时通讯软件都认可的移动号段,而不是大多数服务现在已经拒收的一次性VoIP号段。
• 长期有效,不是用完即弃——同一条线路明年照样能用,而这正是它被留在银行档案里时最关键的一点。

说清楚这招做不到什么。任何有真人参与服务的运营商都存在一定的社会工程风险,网络层面的窃听是另一个真实存在的问题,而专用线路只有在您真的把账户档案上的号码换过来之后才能起作用。它能消除的,是这个页面描述的那种具体、廉价、规模化的攻击——那种从营业厅柜台开始的攻击。线路起价$3.58/月,不到60秒即可激活。

速度比周全更重要。用另一部手机或电脑,按下面的顺序一条条做,先别停下来调查——调查留到后面。

1. 先打电话给运营商,用任意一条其他线路,直接说:我的号码在未经授权的情况下被转移了。要求撤销转移,并冻结账户,阻止进一步变更。
2. 接着保住主邮箱:改新密码,退出所有登录会话,然后检查攻击者有没有加过转发规则、过滤器或找回邮箱。一条没被发现的转发规则,会让他们在您拿回号码后仍然留在里面。
3. 锁住资金。打给银行的反欺诈热线和交易所的客服,冻结提现,把还没到账的操作全部撤销。
4. 轮换并吊销权限——依次处理密码管理器、云存储、域名注册商、社交账号,每一步都退出所有会话。
5. 号码拿回来之后重新注册即时通讯软件,并逐一检查有没有您不认识的已登录设备。
6. 提交举报:向运营商的反欺诈部门举报,并联系电信主管部门或消费者权益机构,同时拨打110报警或联系国家反诈中心——银行通常要求先有报案记录,才会讨论赔付。
7. 随手记下时间点:信号什么时候断的、每条通知什么时候到的、您和谁通过话。这些记录才是纠纷裁定的依据。

事后,把这个号码当成对任何敏感用途都已经烧掉了。它已经证明自己能被转走,现在还进了一份成功被盯上过的号码名单。把验证码换到攻击者从没见过的号码上——如果您想先弄清楚要换成什么样的号码再决定,可以看看虚拟号码到底有多容易被追踪这篇文章。