嚴防移動辦公“隔空取物”式竊密

隨著移動通信技術的發展和移動智能終端的普及，移動政務辦公已經成為必然趨勢，在這一趨勢下，敏感甚至涉密的政務數據和辦公終端走出政務部門的安全邊界將成為普遍現象。盡管移動政務應用已經采用許多安全機制，但是移動網絡開放、移動終端難以管控等因素增加了移動政務辦公的失泄密風險。本文結合隔空盜刷銀行卡事件的原理，介紹移動通信網絡和移動應用存在的安全漏洞，分析上述漏洞導致的失泄密風險，并給出相應的安全防護建議。

事件回顧

2018年12月21日，廣東佛山的李先生到廣西柳州出差，入住某酒店。次日清晨李先生醒來后，發現手機收到大量發送驗證碼的短信和多條工商銀行發來的短信，告知其工商銀行卡內的7萬余元存款經多次消費已近花光。兩天后，同樣詭異的場景在柳州某小區再次出現。居民何女士起床后發現手機接收到大量發送驗證碼的短信，其交通銀行卡被盜刷3萬余元。

圖 1 受害人收到的提示短信

柳州警方立即成立專案組，將3名嫌疑人抓捕歸案。據交代，嫌疑人雷某和雷某斌負責利用嗅探設備竊取受害人手機信息，接收驗證碼短信，分析機主身份證綁定的支付寶賬號和銀行卡號，徐某則負責“加工”竊取來的信息，并在第三方支付平臺盜刷。從而在沒有接觸受害人手機、銀行卡且事先不知道其密碼的情況下，通過“隔空取物”的方式取走受害人銀行卡里的資金。

圖 2 警方繳獲的嗅探設備

在公眾的印象中，“隔空取物”一般出現在魔術表演節目或仙俠小說的橋段中。其實，此類無觸式隔空盜刷現身于世的時間并不長，屬于新型電信詐騙案件，其工作原理說起來也并不復雜。我們日常使用的許多App登錄及操作，都可以通過手機號碼加短信驗證碼的方式實現，而手機號碼和短信內容可以通過專用電子設備來獲取。即，作案人員首先使用偵碼設備獲取一定范圍內用戶的手機號碼和短信內容，然后利用獲取的手機號登錄支付平臺，再用嗅探設備獲取手機驗證碼，最后登錄平臺操控用戶資金賬戶進行轉賬或消費。

圖 3 隔空盜刷的原理 

隔空盜刷的具體實現步驟如圖3所示：

1.利用偵碼設備采集附近（通常是500米以內范圍）處于開機狀態的手機號碼；

2.利用采集到的手機號碼登錄支付寶、京東、網銀等App；

3.選擇“忘記密碼”，通過短信來驗證用戶，或選擇動態驗證碼方式來登錄；

4.利用嗅探設備捕獲短信驗證碼；

5.輸入短信驗證碼登錄App，可以獲取該用戶的銀行卡號、身份證號碼等信息；

6.開始盜刷或轉賬。

經過如此這般的一步步操作，一次“隔空取物”式的盜刷就“完美”實現了。需要指出的是，由于嗅探設備只能同時獲取發給手機用戶的短信，并不能攔截短信，所以作案人員通常選擇在深夜受害人熟睡的時間作案，此時受害人不會察覺手機收到一連串短信以及“躺”在銀行卡中的錢財已經被人“搬運”。

無觸竊密風險分析

隔空盜刷同時利用了移動通信網絡和App的安全漏洞，從而登錄用戶App，并進行相關操作。柳州隔空盜刷作案嫌犯的主要目的是非法獲取財產，但實際上利用這種方式，除了可以非法盜刷，還可以爬取App中的日志、位置、聯系人等用戶隱私信息，特別是隨著移動政務辦公應用的推廣，甚至可以竊取辦公App里的敏感信息。這種風險的存在，不能不引起我們的高度警惕。筆者擬對此作進一步分析，先來看一下圖4。 

 

圖 4 隔空竊密示意

圖中，前端設備（可以是移動式也可以是固定式）完成對目標手機的號碼、短信、App日志、App數據等信息的獲取，并將用戶信息通過互聯網發送至數據分析服務器；分析服務器接收和保存前端設備發送的目標用戶信息，并對這些信息進行關聯分析，竊取用戶敏感信息。

利用上述方式，既可以對重要目標進行跟蹤數據采集，也可以通過區域布控，對特殊人群進行定點數據采集，由此可能產生的竊密風險包括：

1.人物畫像：通過對采集到的數據進行綜合分析，建立人物基礎檔案(庫)，收錄包括戶籍信息、證件信息、生活服務注冊信息、資產信息、地址信息等多維度的人物基礎信息；

2.敏感信息獲取：對采集到的App數據進行清洗、補全、標注等處理，可以提取其中的敏感信息；

3.即時通信分析：通過對目標即時通信數據進行關聯分析，還原聊天內容和時間，以可視化方式展示即時通信好友信息、群組關系、聊天記錄、收藏信息、朋友圈發布信息等；

4.人物地址分析：通過各種App地址信息，進行標準化處理，分析常去地、落腳點、工作地，以熱力圖展示目標人物的活躍區域；

5.潛在人物關系分析：通過對App數據的訂單接收、聯系人、聊天記錄等關系數據，以權重算法計算出關系人的親密度，分析出目標潛在人物關系；

6.人物活動時光軸：通過App采集的人物活動信息，結合時間維度，繪制目標活動軌跡信息。

防范建議

針對移動通信網絡和App驗證方式存在漏洞而導致的隔空無觸竊密風險，筆者建議從以下方面進行安全防范。

1.注意手機信號模式的突然改變。偵碼設備通常只能獲取2G模式手機的手機號碼，對于3G/4G/5G手機，需要將其降至2G才能獲取手機號碼。因此，在穩定的3G/4G/5G網絡環境下，如果手機信號突然降到2G，要及時更換網絡環境，重新連接真實基站，檢查可能出現的移動App異常惡意操作情況。

2.長時間不使用手機時（比如夜晚）要進行關機操作。偵碼設備和嗅探設備只能在手機處于開機狀態時才會起作用，因此，如果長時間不使用手機，要關機或開啟飛行模式，避免被攻擊竊密。

3.收到可疑短信時要及時處理。許多嗅探設備并不影響正常手機接收短信，一旦發現可疑驗證碼短信，要及時關機以避免其他App被偽裝登錄、竊密，并且及時聯系短信驗證碼對應的App后臺，以阻止該App信息的進一步泄露。

4.增強移動政務辦公App的安全驗證方式。短信驗證碼是當前許多App普遍采用的認證方式之一，但也是最容易受到攻擊的認證方式之一。因此，需要對移動政務辦公中使用的App開啟高級驗證，如指紋識別、聲紋識別等。

5.實施對移動政務辦公App的安全監管。由于在移動政務辦公過程中面臨多種竊密風險，因此需要采集移動政務辦公過程中的終端信息、移動網絡環境、操作行為等信息，并對其進行分析，監測是否存在異常的登錄終端、網絡環境、操作行為等，一旦發現異常要及時進行處理，以求盡可能地規避安全風險。

 

（轉載自《保密工作》雜志2020年第4期）