“GSM劫持+短信嗅探”引盗刷，华为高管李小龙给支招

一位 友的真实经历引发了诸多人的担忧，在他8月4 的一篇博文《记录一下支付宝，银行app被盗刷的情况》里记录了这样一件让人匪夷所思的事。

在2018年8月3日凌晨5:01-7:39分之间，该 友还在熟睡时，不法分子通过盗取它的支付宝和银行账户进行消费和贷款，总计盗刷了18696.29元。期间，该 友的手机就放在枕头边，而银行卡也在家里，银行密码什么的也没被别人知道，这到底是怎么一回事呢？

GSM劫持+短信嗅探

手机 络的发展是从 1.0（模拟通信）-> 2.0(GSM)-> 3.0 (3G) -> 4.0（4G/4G+）。

在手机 络2.0，也即是我们称之为GSM制式的时代，手机语音和短信第一次以纯数字信 的方式进行传输，由于年代久远加上当时的技术限制，GSM制式下手机的短信是单向鉴权并且是以明文方式传输的。

就是说如果今天你的手机收到一条短信，并且是在GSM制式下收发的话，基站（移动运营商端）只会验证手机是不是真（该 络运营商旗下的）的，但手机不会去甄别这个基站是不是真的（是不是真的该 络运营商的）。这个漏洞就造成了伪基站（一种犯罪分子打造的小型基站用以在小范围内代替运营商真基站并实施犯罪的设备）的兴起。

华为高管李小龙来支招

华为手机产品线副总裁李小龙也在微博上支招，建议关闭短信云同步功能、华为手机开启账 保护。

短信验证码被窃取的方式主要有这么几个：恶意软件或病毒，通过短信读取权限直接获取短信内容；破解手机云服务账 ，在云端读取短信验证码；GSM 络监听。

安卓系统中，APP可以获得短信读取权限。很多时候，我们在某个APP中需要输入验证码的界面时，系统会自动读取和填充，这就表示它获得了短信读取权限。这种机制省去了手动输入验证码的麻烦，但也造成了安全隐患。现在，MIUI等定制系统已经禁止第三方APP读取短信验证码。

就目前来说，其实GSM劫持已经不是新鲜事了，这事情4-5年前随着伪基站的诞生就已经存在了，问题是中国幅员辽阔，而GSM手机制式（设备）也沿用了十几年，是中国也是现今世界上最大的一张手机 络，这里涉及的设备和系统千千万万。

再加上GSM（2G）模式下的短信明文传输和单向鉴权都是协议上的漏洞。只要手机运行在GSM 2G 络下就一定能被利用，说白了就是米已成炊，于事无补。

在运营商那边来说只能劝用户尽快升级到4G 络上去（2G全面退 ），也就是说靠移动运营商层面来解决这个GSM劫持+短信嗅探问题不现实。

播姐有话说

如何防范GSM劫持？

1.支付宝开启高级验证

2.对资金账户投保

3.睡觉时手机关机或开飞行模式，关闭移动信 打开wifi

4.如果早上醒来看见半夜收到奇怪的验证码短信，立即查看自己的资金是否安全

5.若发现钱被盗刷，及时冻结并 警