>>实验分析
■问题1
GSM网络存在三个缺陷
西安电子科技大学网络与信息安全学院教授杨超认为，这与GSM网络（2G网络）的三个缺陷有关：一是GSM网络短信不加密，明文传输；二是手机和基站之间是单向认证，给伪基站有机可乘；三是手机号虽然不能轻易拿到，但IMIS设备串码用技术手段拿到，拿到串码就可能结合个人隐私的泄露来定位机主其他隐私信息，包括拿到手机号。
网络安全专家马坤表示，这种设备是以前的伪基站的升级演化版，只不过是把专项功能从短信群发转化为短信调取，它利用了GSM网络协议明文传输的缺陷。这种缺陷的弥补难度很大，所以才需要升级到3G、4G、5G。不过，现在所有的手机都支持2G网络，这也是手机最基本的功能。在这种情况下，不法分子就可能通过设备把4G、3G信号屏蔽掉，只让手机采用2G网络，然后利用2G网络协议缺陷获取用户信息。
■问题2
只依赖短信验证码作为身份验证非常不靠谱
余俊峰介绍，其实不仅仅通过“短信嗅探”可以获取手机用户短信验证码，实验证明，手机云端账号和密码泄露、手机被植入木马等，都可能导致验证码短信被不法分子获取。在这么多漏洞的情况下，一些网络平台依然只依赖短信验证码作为身份验证，这已非常不靠谱。短信验证码不仅可修改登录密码，甚至可更改支付密码，这导致安全防范方面存在巨大漏洞。
>>防范建议
这种情况千万小心
手机没挪动信号却从4G变2G
那么，究竟该如何预防这种犯罪手段？马坤建议：1、相关部门和通讯运营商多配备一些伪基站检查车，加大对伪基站的打击力度。运营商不仅要考虑可用性，还要更多地考虑安全性。2、App平台不能过于依赖短信验证码这种验证方式，需要用加强验证。3、如果发现手机没有挪动位置信号却突然从4G变成2G，要能意识到可能正在遭遇攻击。4、如果发现钱被盗刷，火速冻结银行卡，保留短信内容，报警。
杨超建议，个人用户要注意以下几点：1、晚上可以把手机关机或设为飞行模式，这时就不会发串码，而基站在发短信时若发现手机是关机的，也就不会发短信；2、使用各种App不要光采用短信认证，如果平台有多因子认证方式的话，应尽量打开；3、手机银行和第三方支付平台支持的话，可通过设置交易限额以及禁止夜间交易的方式来避免晚上被不法分子盯上。
余俊峰建议：短信云同步功能，建议个人用户权衡利弊谨慎开启，因为开启这个功能，一旦云账户被盗，会给犯罪分子提供极大的便利，即不用接触手机，通过网络就能获取短信验证码。 （华商报记者 马虎振 摄影 邓小卫）
