SIM卡劫持：犯罪分子如何盗用你的手机号码
你的手机号码已成为进入你数字生活最重要的钥匙之一。银行、电子邮件服务商和社交媒体平台都使用它来验证你的身份。SIM卡劫持是一种身份盗窃行为，正是利用了这种信任关系——而且它可以在几分钟内瓦解你的网络安全防线。
什么是SIM卡劫持？
SIM卡劫持（又称SIM卡绑架或号码转移欺诈）是一种攻击手段，攻击者说服你的移动运营商将你的手机号码重新分配到他们拥有的新SIM卡上。一旦成功，所有原本发给你的通话和短信——包括一次性密码（OTP）和登录验证码——都会直接发送给攻击者。
令人不寒而栗的是：你的手机仍然可以正常使用，只是突然没有了信号，你很可能以为是网络故障，等发现不对劲时已经为时太晚。
SIM卡劫持攻击是如何运作的？
整个攻击分为两个阶段：情报收集和社会工程学欺骗。
- 侦察阶段： 攻击者首先收集你的个人信息——包括全名、地址、账号，或社会安全号码的后四位数字。这些数据通常来源于数据泄露事件、钓鱼邮件，甚至是你自己的社交媒体资料。
- 冒充阶段： 掌握足够的个人信息后，攻击者联系你的移动运营商——通过电话、在线聊天，甚至亲自前往门店——假冒你的身份。他们声称手机丢失或损坏，请求将你的号码转移到新SIM卡上。
- 接管阶段： 一旦运营商照办，攻击者便开始接收你所有的短信和来电。他们立即在你的电子邮件、加密货币钱包、银行应用或任何绑定该号码的账户上触发"忘记密码"流程。短短几分钟内，他们就能将你全部锁定在外。
整个攻击过程可以在一小时内完成，而部分运营商已被证明极易受到欺骗，令人深感忧虑。
这对VPN用户和注重隐私的人意味着什么
如果你使用VPN来保护隐私，说明你已经意识到保护数字身份的重要性。但VPN无法保护你免受SIM卡劫持的威胁——它们运作在完全不同的层面上。
SIM卡劫持直接破坏了基于短信的双因素认证（2FA）。许多人认为短信2FA能让账户固若金汤，但实际上，这会造成一个单点故障，完全依赖于运营商客服流程的可靠性。
知名受害者包括损失数百万美元的加密货币投资者、信源遭到曝光的记者，以及商业账户被洗劫一空的企业高管。任何公开了手机号码或拥有大量网络资产的人都可能成为攻击目标。
真实案例
2019年，Twitter首席执行官杰克·多西的Twitter账号遭到SIM卡劫持。攻击者短暂利用该账号发布了冒犯性内容——这一公开且令人难堪的事件证明，即便是位高权重、技术经验丰富的人也难逃此类攻击。
加密货币持有者尤其是重点攻击对象。由于加密货币交易不可撤销，攻击者往往直接锁定以短信2FA保护的交易所账户，在受害者意识到发生了什么之前便已完成资金转移。
如何保护自己
- 改用基于应用的2FA（如Google Authenticator或Authy），尽量避免使用短信验证。
- 为重要账户使用硬件安全密钥（如YubiKey）。
- 设置SIM卡PIN码或运营商密码——大多数运营商允许你添加二级密码，任何账户变更都需验证。
- 减少手机号码的公开曝光——不要在社交媒体资料中列出你的手机号码。
- 使用VoIP号码作为对外联系方式，保持真实号码的私密性。
- 向运营商咨询号码冻结或SIM卡锁定功能，限制未经授权的号码转移。
SIM卡劫持提醒我们：如果人为操作流程可以被操控，再强大的技术防御也无济于事。将多重安全措施叠加使用——结合强身份验证方式、谨慎的个人数据管理习惯，以及VPN等隐私保护工具——才能为你提供最佳防护，抵御那些试图绕过技术手段的攻击。