SIM 卡劫持（SIM Swap）：原理、预警信号与防范方法

大多数人把手机号当作一件普通的事务：用来联系朋友、银行和外卖应用。骗子却不这样看。对许多线上账户来说，手机号就是一扇后门。只要攻击者控制了你的号码，往往就能收到那些用来证明“你是你”的验证码。

本文说明什么是 SIM 卡劫持、有哪些预警信号、骗子如何利用它，以及你在事前和事后可以做什么。文中也会直接说明 VPN 在这件事上能做什么、不能做什么：VPN 在别的方面很有用，但它阻止不了 SIM 卡劫持。如果你对“第二步验证”还不太熟悉，可以先读 什么是两步验证。

SIM 卡劫持到底是什么

你的手机号并不是真的存放在 SIM 卡里。它是运营商系统里的一条记录，指向当前被允许使用这个号码的 SIM 卡或 eSIM。当你丢了手机或换了新机，运营商会把这条记录指向新的 SIM 卡，这是正当的日常流程。

SIM 卡劫持（也叫 SIM hijacking 或 SIM 转移欺诈）就是滥用这一流程。攻击者说服运营商或其员工，把你的号码转移到由攻击者控制的 SIM 卡或 eSIM 上。从那一刻起，你自己的手机失去服务，发给你的电话和短信则出现在攻击者的设备上。

常见的手法有以下几种。

• 冒充你本人。 攻击者联系运营商，声称自己是机主，并提供姓名、出生日期、地址和证件号码等个人信息。
• 利用被盗或泄露的信息。 以往数据泄露的内容、社交媒体上的公开帖子和钓鱼获得的资料，往往足以回答身份核验问题。
• 对员工进行社会工程。 一个令人信服的说法加上紧迫感，对忙碌的员工施压，在某些情况下会奏效。
• 内部人员协助。 在少数情况下，可能有不诚实的员工参与，这一点普通用户很难察觉或防范。

注意，这些手法没有一种需要入侵你的手机。弱点在于围绕号码的流程，而不是你的设备。

骗子为什么想要你的号码

号码之所以重要，是因为许多服务仍然用短信做验证。想想典型登录或找回页面上的选项：“向我的手机发送验证码”。有了你的号码，攻击者可以：

1. 申请重置密码。 很多账户允许通过短信验证码重置密码。
2. 接收一次性验证码。 一些银行和交易平台通过短信发送登录或交易确认码。
3. 接管聊天应用。 有些聊天应用会用发到你号码上的验证码来验证新设备。
4. 进入邮箱。 如果你的邮箱可以通过短信找回，攻击者可能先拿下邮箱，而邮箱又能打开许多其他账户。

攻击者真正的目标通常是钱：清空银行账户或电子钱包、以你的名义申请贷款，或者出售账户的访问权限。他们的步骤往往也相似：先收集你的个人信息，再劫持号码，然后赶在你察觉之前，尽快重置邮箱和金融账户的密码。

美国标准机构 NIST 在其 数字身份指南 中，把通过电话网络发送的验证码视为比其他方式更弱的验证手段，原因之一就在于此。这并不意味着短信验证码毫无用处，而是说对于最重要的账户，它不是最好的选择。

预警信号

SIM 卡劫持可能很快完成，所以知道要看什么很有帮助。这些迹象单独出现并不能证明发生了劫持，但如果出现多个，就需要立刻关注。

在手机上。

• 手机突然显示无信号、“仅限紧急呼叫”或“无服务”，尤其是身边别人的手机还有信号、重启也没用。
• 无法打电话或发短信，但 Wi-Fi 仍然可用。
• 收到运营商意外的通知，称某张 SIM 卡已激活、号码已转出，或账户资料已变更。

在账户上。

• 收到你没有申请的重置密码邮件，或来自新设备的登录通知。
• 各个应用突然把你登出，而且无法重新登录。
• 银行或钱包发来转账、新增收款人或资料变更的提醒。
• 朋友告诉你，他们收到了来自你号码的奇怪信息。

来自他人。

• 有人自称来自运营商或银行，打电话或发信息向你索要验证码、PIN，或让你“确认”信息。这可能正是攻击的前一步。

信号丢失并不总意味着被劫持，SIM 卡故障、网络问题和欠费也会造成同样的现象。稳妥的做法是尽快核实，而不是想当然地认为没事，尤其是当它伴随着任何账户提醒时。

一个简单的例子

小莉是曼谷的一名自由设计师。她会发旅行照片，在公开主页上写了生日，还曾在一个免费测试网站上填过全名和地址。一天晚上，她的手机没了信号，她以为是网络问题，就去睡了。

夜里，有人说服运营商把她的号码转到了一张新 SIM 卡上。对方先用短信选项申请重置她的邮箱密码，再对她的支付应用做同样的操作。等她醒来，看到了陌生的信息，还有一笔她没有做过的转账。

什么能帮上忙？运营商的 PIN 或号码转移锁，如果她的运营商提供，也许一开始就能阻止转移。邮箱和支付账户使用验证器应用或 passkey，攻击者收到的短信验证码就没有用。少在公开场合暴露个人信息，会让通过运营商核验更困难。而在几分钟而不是几小时内对信号丢失做出反应，能把损失控制在较小范围。

事前如何保护自己

没有任何一步是完美的。目标是让每一层对攻击者来说都更难，并且让你即使失去号码控制权，也不至于失去一切。

1. 向运营商询问号码保护选项

许多运营商会提供一些组合措施，例如账户 PIN、密码、到店核验证件，或对号码转移和换卡的锁定。名称、是否提供以及强度因运营商和地区而异，我们无法说明你的运营商提供什么。请直接通过运营商的官方应用、网站或营业厅询问，并设置一个强度高的 PIN，不要用生日或手机号数字。不要把 PIN 存在笔记应用或邮箱里。

2. 把关键账户从短信验证码迁移出去

先从邮箱、银行、支付应用和云存储开始。服务允许时，选择：

• 验证器应用，在你的设备上生成基于时间的验证码。其背后的标准见 RFC 6238。
• passkey，用绑定设备的加密密钥取代密码。FIDO 联盟对 passkey 有说明，我们的 passkey 是什么 一文介绍了设置方法。
• 硬件安全密钥，用于需要最高强度保护的账户。

CISA 的 More than a Password 页面指出，任何多因素方式都比没有强，但有些方式比其他方式更牢固。只有在服务强制要求时，才把短信作为后备，并确保找回选项不能仅凭发到你号码的短信就被绕过。

3. 减少骗子能了解到的关于你的信息

SIM 卡劫持者依赖个人信息，你可以让他们的工作更难。

• 不要在公开主页上放完整生日、地址、身份证号和手机号。
• 对测试题、抽奖和收集个人资料的表单保持警惕。
• 重要账户使用的邮箱，与你给商店的邮箱分开。
• 对印有证件和账户信息的纸质文件，不用时要妥善销毁。

VPN 与身份盗用 一文谈到了个人数据如何被窃取和滥用的整体情况。

4. 让找回流程更难被滥用

• 为邮箱使用独特的强密码，最好存放在密码管理器中。
• 检查“账户找回”设置，删除旧号码和不再使用的备用邮箱。
• 在银行和支付应用里开启登录和资金变动提醒。
• 保留另一种联系银行的方式，例如官方应用，这样即使 SIM 卡停用，你也能采取行动。

5. 对电话和链接保持警惕

攻击者常常先用钓鱼来收集信息或验证码。不要把一次性验证码告诉任何打电话给你的人，即使对方听起来很正规。请自己通过官方应用或银行卡、账单上的号码联系运营商或银行。

eSIM 与 SIM 卡劫持：有什么不同

eSIM 是以数字方式安装的 SIM 配置文件，通常通过扫描二维码或输入激活码完成，不需要塑料卡片。被盗或被换走的实体卡就不再是问题。但号码仍由你的运营商账户控制，如果骗子能说服运营商签发或转移 eSIM 配置文件，造成的伤害大体相同。

实用要点：

• 保护账户，而不仅是那张卡。 使用 eSIM 时，高强度的运营商 PIN 同样重要。
• 留意意外的 eSIM 激活通知。 如果收到消息说 eSIM 已激活或已签发二维码，而你并没有申请，就应视为警示。
• 二维码要保密。 激活二维码或激活码相当于一种凭据，不要发布截图，也不要发给不可信的人。
• 旅行用的纯流量 eSIM 有所不同。 卖家提供的纯流量旅行 eSIM 通常与你的主号码没有关联，这也是有人保留泰国 SIM 接收验证码、另用 eSIM 上网的原因。eSIMonline 在 eSIM 的安全与隐私 指南中谈到了这一点。

VPN 与 eSIM 旅行指南 对出行方面有更详细的说明。

怀疑被劫持时，立刻要做的事

速度很关键。按下面的清单处理，能同时做的前几步尽量同时进行。

1. 立刻联系运营商。 用另一部手机、朋友的手机，或亲自去营业厅。说明你怀疑发生了 SIM 卡劫持，请对方恢复你的号码、阻止进一步变更，并告诉你什么时候改动了什么。
2. 先保护邮箱。 在可信设备和可信网络上修改邮箱密码，检查找回选项、转发规则和已连接的设备。
3. 致电银行。 使用银行卡背面的号码或银行官方应用，而不是短信里的号码，请银行冻结或监控你的账户和银行卡。
4. 修改密码并登出其他会话， 涉及支付、社交和云账户，并顺便改用验证器应用或 passkey。
5. 检查新增的活动。 查看近期交易、新收款人、新设备，以及以你名义开立的新账户。
6. 保留记录。 截图、记下时间，保存运营商和银行给出的参考编号。
7. 通过官方渠道报案， 例如向警方报案，并通知受影响的服务。各地流程不同，请按当地官方指引办理。
8. 提醒身边的人。 看似来自你的消息，可能正被发给你的联系人。

VPN 能做什么，不能做什么

VPN 加密你的设备与 VPN 服务器之间的流量。这在公共 Wi-Fi 上很有用，也能避免本地网络读取你的浏览内容。但它对 SIM 卡劫持毫无作用，因为攻击并不发生在你的互联网连接上，而发生在运营商被骗去转移号码的那一刻。

问题	VPN 有帮助吗
阻止骗子说服运营商转移你的号码	没有
事发后逆转 SIM 卡劫持	没有
阻止短信验证码送到攻击者手里	没有
防范为窃取资料而设计的假运营商网站	没有，但仔细核对可以
减少他人在公共 Wi-Fi 上能看到的内容	有，按它通常的方式发挥作用

如果想更清楚地了解这些局限，VPN 无法保护你的哪些方面 一文直接列出了它们。VPN 只是安全上网的一层，防范 SIM 卡劫持要靠其他层面。

局限与需要留意的地方

• 没有完美的锁。 运营商的保护措施能降低风险，但依赖员工遵守流程，不要只靠一种保护。
• 验证器应用需要备份。 如果装有验证器的手机丢了，又没有备份码或第二台设备，你可能被锁在账户之外。请把恢复码保存在安全的离线位置。
• 不要用一个弱点替换另一个。 把所有验证码都转到一个可被短信找回的邮箱上，作用有限，请先保护好邮箱。
• 骗子也会利用慌乱。 真实事件发生后，骗子可能冒充提供帮助的“找回服务”，请只使用官方渠道。
• 信号丢失还有其他原因。 要尽快核实，但不要认为每一次断信号都是被劫持。

总结

SIM 卡劫持的原理，是让你的手机号被转移到骗子控制的 SIM 卡或 eSIM 上，从而收到本该发给你的短信验证码。请留意信号突然丢失、运营商的意外通知和账户提醒。防护方式包括：在运营商提供时设置 PIN 或号码转移锁，重要账户用验证器应用或 passkey 取代短信，减少公开的个人信息，并在发现异常时迅速行动。VPN 在别的方面有用，但无法阻止 SIM 卡劫持。如果你想在这些措施之外了解出行或公共 Wi-Fi 的防护选项，可以随时到 帮助中心 慢慢查看。