信息时报记者 潘敬文

有你的手机卡，只要知道你的银行账户，就可以转走你的钱。有你的手机卡，再获取你的身份证号，就可以从第三方支付工具转走你的钱。没有你的手机卡，只要有你姓名和身份证号，就可以伪造你的身份证办理你的手机卡，再转走你的钱……很多人都将银行卡，支付宝和手机号捆绑，任何交易都拿手机来验证，甚至手机号就是第三方支付工具账号，并认为这是很安全的行为。但最近多家知名安全商均警告，用手机验证码来确保支付安全只是神话。

“拦截”病毒通过二维码传播

手机验证码曾被视为是手机支付安全的基石，但近日，360、金山毒霸等多家知名手机安全商均分别发出预警：手机病毒能截获手机验证码，进而导致手机支付和交易出现严重漏洞。

其中金山毒霸表示，他们至少已经截获了两百个类似的木马和病毒，它们运作机制大同小异：只能“存活”在安卓手机里，通过“二维码”传播，一旦成功安装在用户的手机上，就会“拦截”网银、支付宝等支付类金融工具发来的验证短信，并将这些短信转发到黑客手中。黑客获取了支付短信，再结合从其它途径获取的银行卡、身份证等信息，就可以成功登录用户网银或支付宝，并将金钱转走。

据360的安全专家特别提醒，很多网上支付账户，手机号本身就是账户名，因此黑客往往连用户的银行账户都不需要获取，只需要截获短信验证，就可以重置支付账户密码，最终控制用户的网上支付账户。

保管好私人信息仍是关键

正如上述手机安全商所说，单纯孤立地获取手机验证码仍然是无效的。但如果犯罪分子从其他途径获取到特定用户的其他私人信息，则要攻破用户的账户就变得简单。其实一直以来银行、地产商、中介机构甚至运营商都在有意无意地“泄露”市民的各种私隐信息。这些私隐信息不仅是垃圾短信和诈骗电话的源头，更有可能成为黑客盗走用户网银和支付账户内资金的重要资料。

另据相关安全专家介绍，如果只知道某个用户的姓名、身份证号和手机号，即使不需要依靠“手机病毒”去套取验证码这种高科技方式，同样可以实行犯罪。目前已经出现了个案，犯罪分子利用网上获取的用户(比如王先生)的姓名和身份证号码，并了解到用户的手机号码，就可以直接制造一张假身份证，并在疏于防范的运营商营业厅“补办”一个王先生的手机卡。由于手机号就是支付类账户号，犯罪分子就能通过支付类账户的“找回密码”功能得王先生的淘宝和支付宝账户。

手机验证强度需不断提升

对于以上个案，有接受采访的运营商负责人向记者表示，透过假身份证来补办手机卡并不容易，因为目前运营商营业厅利用身份证办卡都有录影和存档资料。此外，目前使用的第二代身份证中都有防伪芯片，要伪造非常困难。

而支付宝、财付通等第三方支付工具相关负责人也均表示，将不断提升手机支付的验证质量。比如，支付宝为用户提供登录和支付双密码、防钓鱼签名、数字证书、手机动态口令、支付盾等安全解决方案。

360网购先赔负责人则表示，网络支付需要更高强度、多重的验证机制。显然，单靠手机身份验证，确实无法应对不法分子假身份证、补办他人SIM卡等情况。

链接

资金是如何被转走的？

犯罪方法一：身份证和手机号被泄露——犯罪分子制造假身份证——用假身份证补办手机卡——通过手机号找回支付工具密码——进入并转走钱。

犯罪方法二：获取用户银行账户号码——引诱用户安装手机木马——在网银上点击手机验证登录——手机木马截获网银发来的手机验证码并发送给黑客——利用手机验证码和用户银行账户号码登录网银——将钱转走。

犯罪方法三：获取用户身份证号码——引诱用户将木马安装到手机中——黑客点击支付类工具重置密码选项，并选择手机验证——木马截取手机验证码——配合身份证验证成功——黑客登录支付类工具并将钱转走。

专家支招

如何防范账户安全

●手机绑定的卡别放太多现金

不要在手机捆绑的网银上存放太多现金。任何与资金账户相关并绑定的手机号码，如出现不能使用等“故障”，须警惕被盗用的可能。

●不再用的卡要注销捆绑

有网友称，买到新的手机号码后，发现该号码之前绑定了一个支付宝账号，而且通过“忘记密码”功能和短信验证码，还能得到原机主的淘宝和支付宝账号。因此不再使用的卡，必须谨记注销所有捆绑的支付类账户。

●别乱扫二维码安装apk

网络安全商均表示，很多受害者都有两个特征，第一个是使用安卓手机，第二个是曾扫描过二维码并下载了来历不明的apk(安卓系统安装包)文件。毫无疑问，跟使用木马病毒泛滥的安卓手机比较，使用iPhone和Windows Phone系统要安全很多。