凌晨两点，短信漏洞手机屏幕亮了。短信漏洞一条验证码短信躺在通知栏里，短信漏洞发件人号码是短信漏洞“106”开头的一串数字。我没在意，短信漏洞翻个身继续睡。短信漏洞第二天早上醒来，短信漏洞银行卡里少了三万七。短信漏洞

这不是短信漏洞什么高科技黑客电影里的桥段。问题出在短信本身——更准确地说，短信漏洞出在运营商对短信通道的短信漏洞管理方式上。

一条短信是短信漏洞怎么变成提款钥匙的

大多数人以为短信验证码是安全的，因为它直接发到你手机上，短信漏洞别人看不到。短信漏洞这个逻辑成立的短信漏洞前提是：短信只能到达你的手机。但现实是，短信在到达你手机之前，要经过好几道手。

发件方通过短信网关提交内容，运营商的路由器决定这条短信走哪条通道，最终由基站推送到你的SIM卡。问题出在中间环节。有些第三方短信服务商拿到了运营商的通道资源，他们能向特定号段批量发送短信。更糟的是，某些“短信嗅探”设备可以截获附近基站的信号，把发给你的短信复制一份。

我后来查了自己的案例。攻击者用了一种叫“补卡攻击”的变体：先通过某种渠道拿到了我的手机号和服务密码（可能是某次数据泄露），然后伪装成我，向运营商申请了“短信转移”业务。所有发到我号码上的短信，同时转发到了一个虚拟号码上。验证码就这样被截走了。

漏洞不在技术，在流程

运营商其实早就知道这个问题。短信转移、短信过滤这类业务，本意是方便用户，但开通验证太松了。有些省份的运营商，只要知道服务密码就能在线开通，连身份证都不用。服务密码是什么？很多人用的就是生日或者手机号后六位。

另一个口子来自“短信轰炸”平台。这些平台用大量验证码短信淹没你的手机，让你在混乱中忽略那条真正重要的转账验证码。我朋友遇到过，一分钟内收到两百多条验证码，来自各种App。他以为只是被恶搞了，直到发现支付宝被转走了五千块。攻击者用轰炸掩护，在他手机通知栏里混入了真正的银行验证码。

普通人能做什么

别把短信验证码当成最后一道防线。它能被截获、被转移、被淹没。重要的账户，比如网银、支付宝、微信，尽量用App内的动态口令或者硬件密钥。Google Authenticator这类工具生成的一次性密码，不走短信通道，截获难度高得多。

给SIM卡设一个PIN码。这玩意儿默认是关闭的，开了之后，手机重启或者SIM卡被拔出来插到别的设备上，需要输入PIN才能用。攻击者就算复制了你的卡，也用不了。

还有，定期查一下你的号码有没有被开通什么“短信转移”“呼叫转移”之类的业务。打运营商客服电话，或者登录App看已开通业务列表。我后来查出来，那个短信转移业务是在凌晨一点半开通的，而我那个时间根本不在线。

短信这个技术，诞生快三十年了。它设计的时候，没人想到它会用来传银行验证码。它的脆弱性是天生的，不是补几个漏洞就能解决的。你手机里那条六位数的短信，可能正躺在某个陌生人的服务器上。