V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3603 天前的主题，其中的信息可能已经有所发展或是发生改变。

一个同事的银行卡被盗刷了7000...
讲解一下详细过程吧。。。感觉这个骗钱的技术很高明啊！

都是真事。。爱信不信

同事的讲述：
第一天
同事接了一个10086发来的短信。。说啥积分兑奖。。他再三确认是10086发送过来的短信。就点击进去填写了银行卡号。。但是没填写密码等数据。。但是貌似没有成功。。
第二天
我同事中午在网上订餐要接受手机验证码。。怎么接受都接不到。。然后就让我们给他发他还是接收不到。。还给10086打电话问他们。。10086说是同事手机的问题。
第三天
一大早。。同事就报了警。。银行卡被刷4000 信用卡被透支刷3000
警察来了各种推脱。（不多说了我家没水表，也没定外卖。）
然后去查了银行卡的交易记录。发现都是通过网银还有块钱转出去的。也看不到转给谁了
然后这个事就这么过去了。。。

个人估计这个技术是这么实现的。。。
一个人用手机伪基站随机发送少量短信。。骗取银行卡号。。并且拦截手机短信。。盗取的。。。
感觉好高明防不胜防
前段时间接个电话。。就想起这个件事了。。感觉世界都充满了罪恶感。。。还好我没有钱。。。 http://www.v2ex.com/t/162994

同事

银行

高明

78 条回复 • 2015-01-19 18:11:08 +08:00

codex

2015-01-18 00:05:06 +08:00 via iPhone

第一反应安卓手机中毒了

freelee

2015-01-18 00:24:26 +08:00

去哪里填的，移动的网站还是什么？

m939594960

2015-01-18 00:25:31 +08:00

@freelee 网址他也记不住了！！

m939594960

2015-01-18 00:26:52 +08:00

@codex 感觉中毒可能性不大。。他年龄比较大那种。。。也不爱折腾。。。

nicktogo

2015-01-18 00:29:09 +08:00

我觉得如果记得网站，把网站报出去可能能查到。。。

dangge

2015-01-18 00:29:11 +08:00 via Android

我帮你完善一个你同事没有说的细节:
他登记完后网页会提示他下载某app,然后他就安装了。
然后的故事就是楼主所讲的。
PS:曾经很好奇的去反编译了那个APK,里面内容大概就是短信转发到某个手机号上，就这么简单。
这样的骗子网站一抓一大把，都怀疑是不是有现成的源码在网上流传了……

m939594960

2015-01-18 00:36:13 +08:00

@dangge 7000元啊。。。我天。。我也去反编译下看看能抓住不。。。

dangge

2015-01-18 00:36:36 +08:00 via Android

突然发现写的有点绝对，如果楼主同事用的是iPhone,那么很可能是被假基站了。
但是目前基本都用3G4G了，难道不是大部分假基站都挂了么……这块不太了解。

welsmann

2015-01-18 00:38:38 +08:00

7000？上周才被盗刷49500.... :-(

freelee

2015-01-18 00:39:23 +08:00

@m939594960 这种APP很简单吧，上次还有个新闻，就是有个大学生写了一个类似的，群发短信，别人点了短信中的下载，然后骗话费
这是新闻http://www.fengqiaoju.com/news/blog/382/

xenme

2015-01-18 00:42:58 +08:00

伪基站发诈骗短信还行，但是应该没法拦截正常接收短信吧？
和第一位想法一样，估计是装了Android的应用，然后就。。。

surftheair

2015-01-18 00:44:15 +08:00

又见安卓，又是root，又是乱下app，乱点网址，乱填银行卡和身份证号

zkd8907

2015-01-18 00:45:20 +08:00

用iPhone保平安

sandideas

2015-01-18 00:45:37 +08:00 via Android

不一定是点连接下载app。。
可能是在以前下载的app有足够的权限知道你的手机号并且可以伪造短信，拦截短信什么的。

9hills

2015-01-18 00:46:34 +08:00

第一感觉是装了木马，这个太常见了。提示安装很多人看都不看直接装。。

ScotGu

2015-01-18 00:47:21 +08:00

再三确认是 10086 发的短信，难道就不看网址么？？

9hills

2015-01-18 00:47:31 +08:00

@m939594960 诈骗短信也删了？

surftheair

2015-01-18 00:49:04 +08:00

@sandideas 肯定是下了app的，估计没好意思说。姓名，卡号，身份证，短信验证码=快捷支付

m939594960

2015-01-18 00:51:18 +08:00

@welsmann 我天。。。好有钱。。。
@dangge 我也不懂伪基站。。。只是猜测。。
@ScotGu 额。。要是我肯定就会注意了。。关键同事年龄比较大!
@9hills 好像是删除了

codegear

2015-01-18 00:51:28 +08:00 via Android

上个月被盗刷6000，一边打客服一边一笔一笔被盗刷

9hills

2015-01-18 00:52:28 +08:00

ls说的对，这个可以搜下，很常见的骗局。都是走的快捷支付。

9hills

2015-01-18 00:54:02 +08:00

@m939594960 手机在的话排查下木马吧。。80%的几率是被人开了快捷支付。。这个如果不是SIM卡被补卡了（太麻烦），就是手机中了木马。

不过删短信，估计也是不好意思吧。。讳疾忌医要不得。

woyao

2015-01-18 01:18:38 +08:00

自己看这个报告吧。
http://yunpan.cn/cyntkHRdUf6z8
http://yunpan.cn/cyntMFwi77Svr

在第五章节中，有详细的被骗过程分析。

qkhhly

2015-01-18 02:58:02 +08:00 via iPhone

我很好奇银行会怎么处理这种情况。一般在国外的话，银行都会把钱还给你的。

ligyxy

2015-01-18 03:58:36 +08:00 via Android

可见给父母换上iphone多么必要

hjiang201

2015-01-18 06:22:21 +08:00 via Android

我上个月也是因为这条短信，不见了五千。之分换现金让你提供姓名，手机号，身份证号码，密码，然后再安装个客户端（就是做个软件有后门）服务商的信息手机手不到全部由你安装的软件传到对方那里了。现在很多银行卡提供手机验证码方式确认充值

codex

2015-01-18 07:04:32 +08:00 via iPhone

@m939594960 就是V友说的那种安装了某app 自动转发短信把快捷支付的验证吗转发走了

codex

2015-01-18 07:06:18 +08:00 via iPhone

@hjiang201 安卓手机装个权限管理之类的软件吧比如LBE

jjit

2015-01-18 07:56:23 +08:00 via Android

还是用 2张卡吧
储蓄卡不开通网银
另外一张是专门网络交易的，里面不超过一，二千元

yuhaaitao

2015-01-18 08:11:01 +08:00

不带上网的诺加压1020适合他

JackWindows

2015-01-18 08:18:43 +08:00 via iPhone

@m939594960 纠正下某些人的观念，2g通讯有漏洞才导致伪基站可以发短信；既然能发为啥不能拦截呢？去年上海安全周的时候就有人演示过，信源压制强行把设备从3g/4g downgrade到2g，然后能显示区域内所有手机通话信息和短信。

ysjdx

2015-01-18 09:18:13 +08:00

1.伪基站发送假10086信息套取银行卡号
2.gsm sniffer截取银行卡动态验证短信（这里需要干扰设备强行把3g/4g降级到2g）。
现在gsm sniffer技术门槛太低。。OsmocomBB

Havee

2015-01-18 09:20:51 +08:00

平常关了短信，要理财的时候再10086开通

9hills

2015-01-18 10:22:35 +08:00 via iPhone

@jjit 不开网银也能快捷支付，控制你的手机后拿到卡号照样转钱

jjit

2015-01-18 10:25:22 +08:00 via Android

@9hills
应该能去银行申请关闭吧
只能用卡到ATM机提现

zjgsamuel

2015-01-18 10:29:31 +08:00

学习了~~

xohen

2015-01-18 10:33:08 +08:00

@qkhhly
一般这样的倒刷都是通过第三方的快捷支付支付，第三方支付（支付宝，网银在线，etc.）会赔付的。
流程就是本人持银行卡和身份证到卡开户行提出申请，各家银行都会有相应处理流程的总行级文件下发。

利益相关：某第三方支付开户行工作人员。

leloext

2015-01-18 10:46:31 +08:00

对付伪基站的方法就是换usim卡，老的sim卡还是尽快换卡吧。

CtrlSpace

2015-01-18 10:58:37 +08:00

@xohen 啊哈~那这样不是可以自己制造被盗假象来骗取第三方支付的赔付？
因为所有资料都是用户自己泄露出去的，如何区分是被盗还是制造的假象？

blessme

2015-01-18 11:17:47 +08:00

@dangge 不影响啊，电话短信还是再2G上。

Mavious

2015-01-18 11:21:51 +08:00 via Android

拦截短信，只有病毒才能做的。
那片区最关键的一环楼主没有讲到。你同事肯定装的什么乱七八糟的东西。

shakoon

2015-01-18 11:23:23 +08:00

我和朋友前几天也收到过伪装10086的短信，让去一个和10086很像的网站去兑换积分

Mavious

2015-01-18 11:26:30 +08:00 via Android

最近我也老收到移动的推销短信。

不是安装移动客户端送，多少多少流量。
就是叫你关注他的微信公众号，送150兆流量（我看了下还是要装软件才送的）。

最后我没装而已。

解决方法很简单，像我一样不用手机端支付。只在pc上操作。只给一个卡开网银用于网购，那个卡的钱是随用随转的，不存大钱。

blessme

2015-01-18 11:28:49 +08:00

@JackWindows 你别忘了，还有电信CDMA网络，2G你也没办法拦截。

m939594960

2015-01-18 11:37:06 +08:00

@qkhhly 银行给他查了账单。。说信用卡透支的钱肯能能找回来但是储蓄卡就找不回来了（后来信用卡的钱也没找回来。银行说钱已经被花了）
@ysjdx 同事的卡确实是2g的。。这种技术好刁、、、
@Havee 每天中午定饭都得开通一遍。。。
@xohen 钱都是通过块钱和网银在线刷出去的。。。找了相关人员。。无果（钱太少了他们不爱鸟。。）
@leloext 回去我就提醒同事吧。。太吓人。。

learnshare

2015-01-18 11:42:16 +08:00

伪装号码和网站比较容易吧，手机上装个软件监控通信和键盘输入也是可能的吧

m939594960

2015-01-18 11:43:52 +08:00

@learnshare 我擦。。。感觉我要能拦截2g/3g网络然后模拟个网络不是无敌了。。。

exploreexe

2015-01-18 12:12:36 +08:00 via iPad

我觉得肯定没这么简单吧是不是过程有什么遗漏没写出来？还有就是七千不是可以立案了么？如果转账丢的对方银行卡必须要身份证吧，不能查么？顺便问问这种事情银行会有责任吗？

icedx

2015-01-18 12:23:18 +08:00 via Android

不就是这个东西么
http://www.v2ex.com/t/160722#reply28

xohen

2015-01-18 12:57:17 +08:00

@m939594960 打客服电话投诉，说得严重点。稍微靠谱点的银行都会联系你加急处理的。

@CtrlSpace 第三方支付有先行赔付原则。所以单从可实施性上说，你是可以做到的。

gmbsfd

2015-01-18 13:12:48 +08:00

有时候接不到验证码的我表示吓尿了

fan5013

2015-01-18 13:13:59 +08:00

@jjit 这个办法最后，物理隔断。

luolianhai

2015-01-18 13:33:25 +08:00

昨天在京东买东西，不久就有个电话打过来说付款不成功，我没理他，然后下午又有电话，晚上又来电话，让我提供银行卡号和身份证号，然后我手机收到一条短信，对方也叫我把验证码告诉她，然后银行卡扣了201.6块钱。。。幸好卡里本来就只有200多。。。大脑短路了。。。千万不能把手机验证码告诉其他人啊。。。

leyle

2015-01-18 13:57:28 +08:00

前段时间看了个新闻，一个小伙装了豌豆荚，耍了里面的游戏，然后银行卡被扣了一两万还是多少钱。

当时想了半天都没有想明白，今天看到这个帖子里大家的跟帖，我估计我明白原因了。

讳疾忌医是人的通性啊！

leyle

2015-01-18 14:06:11 +08:00

这样说起来，一个应用如果要请求通讯录、电话、短信权限时，以最大的恶意推测，它偷你钱的风险是非常高的。即使它自己不偷你的钱，但是这个应用被人重新打包的话，被偷钱的风险更大了。

比如 qq，它就拥有上面说的这些权限，而通常情况下，我们是信任它的，但是如果安装了一个重新打包（含恶意代码）的 qq，我们就放行了这个软件。

所以从源头绝断，要求读取敏感信息的软件都不安装，或者能够精准控制一个软件只有运行自己的权限，并且能够取消所有所谓的服务，我关闭软件时，软件就真的关闭了。

m939594960

2015-01-18 14:11:20 +08:00

@exploreexe 7000的确可以立案了。。关键警察不爱管阿。。然后就草草了事（你去开户行那边银行附近的地方报案->你去你居住的地方报案->你去事发地报案。。。最后互相推完了就做了笔录。。最后还是没结果）
@xohen 银行说他无法处理！。。。。（钱不算太多不爱管？）
@gmbsfd 我现在也是接不到验证码就吓尿。。。
@luolianhai 骗术高明阿！

m939594960

2015-01-18 14:13:05 +08:00

@leyle 感觉案桌手机放在老人身边真可怕。。。。他们也不会注意这些东西/。。以后得注意点了。。。

ximan

2015-01-18 14:52:44 +08:00

买iPhone保平安，别越狱。
我之前招行信用卡被盗刷，国外消费的，打电话客服，最后全部追后，我什么都没损失，就是换了个信用卡，招行好评啊！

blessme

2015-01-18 15:02:57 +08:00

@ximan 要是国内就没那么好运了，国外消费的有Visa这些组织在管事好办。

simoncos

2015-01-18 15:37:19 +08:00

“再三确认”...

xohen

2015-01-18 15:52:43 +08:00

@m939594960 打客服电话，说明如果银行不解决就“找媒体要说法”。

refresh

2015-01-18 16:04:27 +08:00

看得心惊肉跳啊，我以为IT人应该是很难得上当受骗啊

zakokun

2015-01-18 16:06:14 +08:00

肯定就是自己乱装APP,输入账号密码被盗了.很多人都是被很简单的方法骗了然后又不好意思承认就说对方使了XXX高深技术完全防不住什么的....

Davy

2015-01-18 20:46:35 +08:00

@m939594960 给公安发申请信，请求立案，并要求公安明确是否立案，不立案要给出不立案的法律依据。公安应该在30天还是60天内给你回复，如果没有回复，以“拖延履行法定职责”起诉公安，向法院提交你发出的申请信和公安已收到该申请信的证据。行政诉讼费用只要50元。

Davy

2015-01-18 20:49:29 +08:00

@m939594960 如果公安给你回复，不立案，但没有法律依据，以“不履行法定职责”起诉公安。

m939594960

2015-01-18 20:55:40 +08:00

@Davy 立案了。。做了笔录并且协助调取了银行的转帐记录。。。然后现在一直也没结果。。。

jakehu

2015-01-18 21:00:05 +08:00

哈哈用诺基亚的飘过，有一个Android手机不过只是用来上网

Davy

2015-01-18 21:04:20 +08:00

@m939594960 立案就好办了，一般要在一定时间（比如3个月，6个月，你要去问一下）内定性。如果没有在一定时间里定性，可以向法院起诉“拖延履行法定职责”，起诉的好处是公安不得不向原告和法院披露他们的内部材料，这样你就可以知道他们走到哪一步了。

hfeeki

2015-01-19 00:02:45 +08:00

目前国内绝大部分安卓app都会索要超出应用本身所需的权限，无论公司大小，完全当用户是肥羊，也只有天朝这样吧。

woyao

2015-01-19 10:17:31 +08:00

@ysjdx 完全不需要用第2步，因为第2步范围太小了。

@ximan @ligyxy iphone同样无法避免此类钓鱼，因为可以不用木马那个过程。

@m939594960 技术没什么吊的。都是国外开源的东西。

@JackWindows 的确现在用3/4G也不安全（指移动和联通），通过大功率干扰器，降至2G。这个已经有伪基站在用了。

360手机卫士目前在防伪基站方面是走在很前面的。http://www.leiphone.com/news/201409/jIiNTdGH6OdzORSt.html

给各位提个醒：
1、姓名
2、身份证号
3、银行及银行卡号
4、银行卡所绑定的手机号
5、对应的短信验证码
这五项不能随便给别人，特别是第5条。
如果不放心父母，请改用中国电信。