手機(jī)打電話和發(fā)短信本是再正常不過的功能,，但是近年來卻被不法分子利用,，成為了一種攻擊他人的新型技術(shù)手段,，手機(jī)用戶受到“通訊轟炸”，被短信和電話騷擾的惡性事件越來越多,。近日,，廣州市公安局網(wǎng)絡(luò)警察支隊和白云區(qū)公安分局聯(lián)合偵查，打掉一個利用互聯(lián)網(wǎng)架設(shè)“24云呼”平臺,，干擾手機(jī)通訊通話的新型犯罪團(tuán)伙,。
警方抓獲“24云呼”團(tuán)伙嫌疑人
“呼死你”擾民 26元就能呼出5000次
廣州市番禺區(qū)的羅女士報案稱，總是接到陌生來電,，這些陌生電話每分鐘就會響三,、五次，每次響一下就掛斷，被呼叫的手機(jī)基本處于癱瘓狀態(tài),，這讓從事銷售工作的羅女士苦不堪言,。
廣州市公安局白云分局民警郭普生介紹，經(jīng)過偵查發(fā)現(xiàn),，羅女士遭遇的是一款名為“24云呼”的惡意軟件的攻擊,，該軟件通過控制遍布全國的掛機(jī)手機(jī)對被害人實施“轟炸”，以軟件“開發(fā)者”為源頭,，與“運(yùn)營者”“代理商”“使用者”形成了一個完整的黑色產(chǎn)業(yè)鏈條,。“云呼”使用者通過向代理商購買充值卡,，在該平臺充值26元就能惡意呼叫5000次,。
廣州市公安局網(wǎng)絡(luò)警察支隊和白云區(qū)公安分局通過聯(lián)合偵查，最終抓獲了一個利用互聯(lián)網(wǎng)架設(shè)“24云呼”平臺,，干擾手機(jī)通訊通話的新型犯罪團(tuán)伙,，抓獲嫌疑人4名，查獲“24云呼”賬號3700多個,。經(jīng)了解,，“24云呼”平臺自2020年11月上線以來，已進(jìn)行了586萬余次呼叫,。
作案團(tuán)伙的掛機(jī)手機(jī)
短信轟炸黑產(chǎn)升級 犯罪成本不到50元
和案件中的羅女士一樣,，一天內(nèi)接到來自全國各地數(shù)千個陌生電話、短信騷擾的人群不在少數(shù),。近年來,，一些不法分子利用“通訊轟炸”惡意呼叫，實施打擊報復(fù),、敲詐勒索,、強(qiáng)買強(qiáng)賣、非法追債等違法犯罪活動,，普通群眾不堪大量短信電話騷擾,，往往選擇妥協(xié)退讓，自身合法權(quán)益遭受侵害,。
騰訊安全平臺部高級研究員程斐然介紹,，“短信轟炸”早在2005年“小靈通”時代就已形成產(chǎn)業(yè)，當(dāng)時的貓池（一種擴(kuò)充電話通信帶寬和目標(biāo)對象的裝備,，可同步撥打大批量的用戶號碼）通過連接小靈通來完成群發(fā)操作,，只需利用電腦上的“短信群發(fā)王”導(dǎo)入相關(guān)的發(fā)送目標(biāo)手機(jī)號，即可完成發(fā)送操作,。這種“短信轟炸”方式成本較高,，刨除主機(jī)和軟件費(fèi)用,，每條短信的成本為0.1元，1萬條短信就需要上千元,，所以這類短信發(fā)送方式主要應(yīng)用于廣告主的營銷,。
經(jīng)過十余年的發(fā)展，“短信轟炸”產(chǎn)業(yè)鏈發(fā)生了巨大的變化,，黑產(chǎn)從業(yè)人員開始利用互聯(lián)網(wǎng)產(chǎn)品的短信驗證服務(wù),，對受害者進(jìn)行“轟炸”。用戶平時登錄各種網(wǎng)站或APP時,，往往需要往手機(jī)下發(fā)驗證碼,，“短信轟炸”黑產(chǎn)則瞄準(zhǔn)了這一“商機(jī)”，通過爬蟲手段搜集大量正常企業(yè)網(wǎng)站的發(fā)送短信接口（CGI接口）,，集成到“轟炸”網(wǎng)站或者“轟炸”軟件上,，用以非法牟利。
“轟炸”網(wǎng)站或軟件發(fā)出指令后,，這些企業(yè)網(wǎng)站的大量正常驗證碼信息會在短時間內(nèi)發(fā)送到指定手機(jī)上,，甚至可以實現(xiàn)單一網(wǎng)站給同一手機(jī)號發(fā)送多條驗證碼信息。
短信轟炸技術(shù)原理
由于“短信轟炸”軟件的生產(chǎn)成本極低,，并能帶來穩(wěn)定的獲利,，這讓越來越多的黑產(chǎn)傾向于云化改造——在境外的云主機(jī)上直接以極其低廉的價格購買云服務(wù)，再通過發(fā)卡平臺購買短信“轟炸”網(wǎng)站的模板,。這其中,，購買海外云主機(jī)的成本每個月僅需20-30元，一個有3個月程序開發(fā)基礎(chǔ)的“腳本小子”能在4小時內(nèi)完成一個“短信轟炸”網(wǎng)站的部署和上線,，每月成本不到50元,，但是非法獲得的收入?yún)s超過數(shù)千元，誘惑力十足的投入產(chǎn)出比也讓更多“短信轟炸”黑產(chǎn)參與進(jìn)來,。
產(chǎn)業(yè)鏈完備 黑產(chǎn)團(tuán)伙“槍彈”足
目前,，“短信轟炸”已成為挾私報復(fù)的常用手段。比如,，催收等軟暴力犯罪者通過使用“短信轟炸”攻擊受害者，迫使受害人還款,；收到差評的電商平臺賣家利用“短信轟炸”對消費(fèi)者進(jìn)行報復(fù)等等,。黑產(chǎn)團(tuán)伙借助非法網(wǎng)絡(luò)平臺侵害用戶合法權(quán)益，助長惡意報復(fù),、軟暴力催收等行為,，嚴(yán)重影響社會穩(wěn)定。
騰訊安全平臺部高級研究員程斐然介紹,，“短信轟炸”已形成較完善的產(chǎn)業(yè)鏈,。運(yùn)作“短信轟炸”依賴于技術(shù)開發(fā)者、網(wǎng)站/APP運(yùn)營者與使用者三類群體。其中,，技術(shù)開發(fā)者負(fù)責(zé)分析發(fā)現(xiàn)未采取防護(hù)措施的短信接口,，編寫代碼調(diào)用接口并將其產(chǎn)品化；網(wǎng)站/APP運(yùn)營者負(fù)責(zé)前端開發(fā),，幫助使用者便捷地使用和付費(fèi),，甚至通過代理商分發(fā)模式大肆售賣；使用者在相應(yīng)的網(wǎng)站/APP購買服務(wù),，輸入“被轟炸”用戶的手機(jī)號即可通過調(diào)用前述短信接口發(fā)起攻擊,。
據(jù)騰訊安全平臺部對此類風(fēng)險軟件的深入調(diào)查，目前市面上可搜到的“短信轟炸”網(wǎng)站約有3000余個,、有超過5000個的短信接口疑似被用于實施“短信轟炸”,，接口類型包括各大互聯(lián)網(wǎng)企業(yè)、運(yùn)營商對外服務(wù)端口,、甚至有很多政府服務(wù)類網(wǎng)站,，這無疑嚴(yán)重影響正規(guī)企業(yè)網(wǎng)站的短信驗證碼功能，有損企業(yè)形象,，也增加了企業(yè)不必要的費(fèi)用開支,。
某“呼死你”APP在境外通訊網(wǎng)站上的廣告
“短信轟炸”為何難治理？
“短信轟炸”會造成短信通道阻塞,、企業(yè)品牌形象受損,、短信費(fèi)用被大量惡意消耗等負(fù)面影響，對用戶的手機(jī)通信和正常生活帶來困擾,。如何破局“短信轟炸”,，無疑是個亟待解決的問題，而其中的難點(diǎn)與互聯(lián)網(wǎng)的產(chǎn)品形態(tài)息息相關(guān),。
大部分的網(wǎng)站和移動應(yīng)用APP在注冊時需要手機(jī)號碼獲取驗證碼短信,，利用短信驗證來鑒別手機(jī)號是否屬于用戶本人。然而,，這種驗證方式背后卻暗藏許多安全隱患,。其中最主要的一種就是黑產(chǎn)利用各類平臺的短信驗證接口進(jìn)行短信轟炸。
在下發(fā)驗證碼前加一層校驗,，可以有效地防止黑產(chǎn)惡意利用,，但此時，企業(yè)也需要承擔(dān)用戶流失的風(fēng)險,，因為多加一步動作,，就意味著用戶轉(zhuǎn)化率可能降低。
另一方面,，由于這類“短信轟炸”模式利用的是海量網(wǎng)站,，這就意味著傳統(tǒng)單業(yè)務(wù)線頻控的安全策略對這種利用無效,，即便被調(diào)用短信接口的企業(yè)有防范措施，但因該類網(wǎng)站或軟件一般集成的短信發(fā)送接口都會放在本機(jī)上調(diào)用,，這樣防護(hù)措施只會對當(dāng)前使用網(wǎng)站或軟件的作惡人員的IP有用,，其他不同IP則不受限制。而有些“短信轟炸”軟件為了提高可用度,，會在軟件內(nèi)置代理IP繞過短信接口的限制,，達(dá)到無限制對外發(fā)送大量短信的目的。
破局“短信轟炸”主動出擊才是上策
面對防不勝防的“短信轟炸”,，需由被動防御走向主動治理,，騰訊守護(hù)者計劃安全團(tuán)隊針對企業(yè)從源頭上防范“短信轟炸”黑產(chǎn)提供了幾點(diǎn)建議。
其一是對被黑產(chǎn)利用的驗證碼接口增加人機(jī)驗證,，如圖形驗證碼等基礎(chǔ)防范策略,，提高黑產(chǎn)團(tuán)隊惡意利用接口的門檻，壓縮黑產(chǎn)生存空間,。比如騰訊驗證碼能根據(jù)用戶多維環(huán)境因素,，精確區(qū)分可信、可疑和惡意用戶,，彈出不同的驗證方式,，帶來更精細(xì)化的驗證體驗。
其二是針對移動端打造一鍵驗證方案,，替換過時的短信驗證碼,。如騰訊云號碼認(rèn)證服務(wù)集成了三大運(yùn)營商特有的網(wǎng)關(guān)取號、驗證能力,，自動通過底層數(shù)據(jù)網(wǎng)關(guān)和短信網(wǎng)關(guān)識別本機(jī)號碼,，在不泄漏用戶信息的前提下，安全,、快速地驗證用戶身份,，一鍵免密注冊和登錄。
此外,，互聯(lián)網(wǎng)企業(yè)還能通過統(tǒng)一風(fēng)控服務(wù),，在下發(fā)短信驗證碼前，根據(jù)風(fēng)控結(jié)果有選擇地打擊,；支持QQ,、微信等授權(quán)登錄方式，盡可能的減少短信驗證帶來的風(fēng)險,；針對短信驗證碼的發(fā)送量級做好監(jiān)控，及時發(fā)現(xiàn)異常監(jiān)控,。
