【云闪付商家收款码 开通全过程视频！】     

               

上面就是云闪付商家收款码的申请全过程 ！您学会了吗？     

          

云闪付服务商官网是：ysffws.com，进入云闪付服务商官网可以直接联系上服务商，服务商可以帮助您完成二 次认证，解决申请过程出现的任何问题，是您申请收款码的好帮手哦！~     

   

---

                  

被“短信嗅探”盯上，醒来一无所获？

记者实测：短信验证码+身份证信息可进行支付、转账、修改密码

专家提醒：不要轻易泄露身份证号码

IT时报记者 吴宇欣

我没有丢手机，我没有丢卡，我没有扫描二维码，我没有点击链接，我没有连接WiFi，我远程没有卡变了，我只是睡了一觉，就失去了所有的资产。 当手机上的应用越来越多，绑定的服务越来越多时，谁能想到短信验证码引发的连锁反应，可以让一个人的存款一夜归零？

8月1日，网友“刁寒江雪”半夜收到100条短信验证码。 她醒来后发现，自己的支付宝和银行账户不仅被盗，还被贷款了。 《IT时报》记者讲述了自己如何被“寒江雪独钓”所欺骗，并试图重新追踪“主谋”的攻击路径，发现整个链条诡谲、环环相扣。 “钓鱼寒江雪”的黑客不仅掌握了她的手机短信验证码，还掌握了她的身份证等个人信息。 有了这些，黑客就可以完全交叉验证并修改您的登录和支付密码。

专家提醒，当越来越多的网站要求你填写身份证信息时，一定要认真填写，银行、第三方支付公司、互联网公司在验证时不要过于依赖手机短信“你是你。”

新闻事件调查

一觉醒来，我的账户被黑了。

8月1日，网友“独自钓鱼汉江雪”在网上发帖称，7月30日凌晨5点左右醒来后，发现手机一直在震动，收到来自支付宝、京东、京东等网站的100条消息。银行被发送。 多个验证码密密麻麻，时间在7月30日凌晨1点到4点之间。“汉江雪独钓”不再困了。 当我查看我名下的账户时，发现不仅支付宝、余额宝、余额及相关银行资金被转移，骗子还在京东开通了金条、白条功能，借了1万元。 各种各样的。 “独钓韩江雪”不明白，为什么骗子手里拿着手机，没有告诉任何人验证码，却像另一个自己一样熟练地操作着所有账户。

支付宝回应：

运营商通过多重验证因素

“寒江雪独钓”的经历在网络上引发热议。 支付宝成立调查组，于1时42分至3时21分恢复其支付宝账户状态，发现诈骗者在登录支付宝账户后更改了登录密码和支付密码。 ，绑定银行卡后开始网上购物，并使用支付密码3次将支付宝资金提取到用户名下的银行卡，最后将银行卡内的钱转入。

支付宝相关人士告诉《IT时报》记者，当“刁寒江雪”首次联系支付宝索赔时，支付宝拒绝了，因为从当晚账户操作状态来看，该账户似乎是自己或熟人操作的，登录帐户。 、修改密码、购物、提现验证一次全部通过。

“这个事件比较少见，运营商通过了多重验证因素，包括短信验证码和用户的多项个人信息，大部分钱都转到了用户自己的银行卡上，这与之前发生的情况不同。”被盗案件则不同。” 支付宝调查组认为，保险公司首先决定拒绝赔偿的原因是，从操作状态来看，与我自己或身边人的操作非常相似，且短信验证码等所有验证方式均成功。一次通过，给判断本案性质带来了很大困难。 目前，支付宝将首先全额赔偿用户损失，并配合警方处理案件。

安全专家分析：

短信嗅探和木马都是可能的

帖子中，“刁寒江雪”推测自己遭受了GSM劫持+短信嗅探。 这是一种新型的假基站诈骗手段，利用GSM 2G网络的设计缺陷，在不接触目标手机的情况下获取手机收到的验证短信，然后利用技术漏洞和存在的漏洞进行诈骗。主要银行、网站和移动支付应用程序。 缺陷可能导致信息盗窃、资金盗窃和网络欺诈等犯罪行为。 诈骗者经常在深夜用户熟睡时进行操作。 黑客可以看到基站区域内所有用户收到的短信，并获取短信中的验证码等敏感信息。 当他做这一切时，用户并不知情。

在这个过程中，黑客就像是经过专业训练的猎犬，在黑暗中悄悄识别事物，因此被专业人士称为“短信嗅探”。

一位运营商内部人士告诉《IT时报》记者，“短信嗅探”涉及的关键技术缺陷是GSM通信协议中使用的单向认证方式。 弱认证和明文传输的缺点很容易被劫持。 目前，中国移动和中国联通之间的短信仍然通过2G GSM网络标准传输，而中国电信则使用CDMA网络。 由于CDMA网络对每一次通话和短信都要进行认证，认证过程相当复杂，而且密钥只在网络核心侧和基站侧之间传输，不法分子无法获取，也无法截获用户的信息。通过短信验证。

到目前为止，从警方查处的案件来看，确实没有中国电信用户受到此类技术的攻击。

“五六年前，我的同事就尝试过。监控短信非常简单，所有在伪基站覆盖范围内受影响的2G手机短信都会被监控。但现在大部分手机都升级到4G了，这意味着攻击者的门槛更高，成功的概率更低。” 网络安全专家李铁军告诉《IT时报》记者，虽然持续的信号干扰可以让沉睡的人手机信号保持在2G状态，但会被无线电监管部门发现。 除了GSM劫持+短信嗅探之外，还应该考虑其他可能性，例如App同步和备份短信内容。

“手机中的木马还可以窃取用户通讯录和短信内容。如果受害者感染了类似的木马，可能很难及时发现。” 微信辰辰网络技术有限公司DLG安全研究实验室的一位“白帽子”告诉《IT时报》记者，虽然从案例分析来看，此案并不是钓鱼Wi-Fi攻击引起的，但用户应该另请注意，“网络钓鱼热点”和“寄生虫热点”是恶意Wi-Fi攻击的常见攻击方式。 一旦用户连接上“寄生热点”，热点上的恶意程序就会不断捕获并篡改用户信息。

记者实测

短信验证码+身份证信息可以做什么？

8月6日至8日，《IT时报》记者选取了部分样本。 他们根据“韩江雪独钓”的欺骗过程，假设自己被GSM+短信嗅探劫持，分别尝试登录银行和手机。 支付、电子商务网站、社交平台和电子邮件，看看我们的在线生活是否安全。

第一波银行+支付APP：手机+验证码+身份证号网上转账

8月7日，记者尝试用普通手机登录同事的招行移动生活App。 登录需要两步验证，短信验证码+手势密码，修改手势密码只需用户身份证号。

虽然同事也设置了面部识别登录，但由于记者更改了手势密码，面部登录被关闭。 在App内使用资金、修改支付密码、开通小额免密功能，操作者需要输入信用卡的安全码、有效期、查询密码、验证码或输入持卡人借方姓名卡、身份证号码、手机号码验证码。 因此，如果用户的信用卡信息或银行账号被泄露，该账户完全可以被他人操作，但这种攻击场景相对困难。

相比之下，登录支付宝和修改支付宝密码要容易得多。 记者还用自己的手机尝试登录同事的支付宝账户，发现只需知道短信验证码、手机号码和用户名即可登录，如果拿到了失主的身份证号码，还可以修改支付密码，于是记者成功修改了。 使用同事的支付密码完成手机充值、转账等操作。

京东钱包、京东金融还可以通过用户的手机号码、短信验证码、用户名修改用户的登录密码。 修改支付密码的验证步骤也比银行简单很多，只需要短信验证码、转账卡号、用户名即可。 您可以使用身份证号码修改支付密码、转账。 如果您想从京东金融获得贷款，您需要填写用户的基本信息，如姓名、身份证号、手机号码、学校、教育程度、家庭住址、月收入、工作地址，并扫描身份证和人脸认证时扫描。 进行人脸识别。

测试发现，如果黑客通过“短信嗅探”控制了你的手机短信验证码，同时在此前根据手机获取的各种信息的“社工库”中找到你的身份证姓名和号码。电话号码，那么攻击就相对容易。 那就容易多了，“寒江雪中独钓”的情况很可能就属于这一类。

第二波电商+社交+邮件应用：只需要手机+验证码

与资本账户相比，登录电子商务、社交网络、电子邮件等互联网应用要容易得多。 您可以通过手机添加短信验证码登录淘宝、京东、网易考拉、网易邮箱、189邮箱。

登录QQ、微信需要进行查看好友头像、滑动拼图等二次验证。 《IT时报》记者试图使用受感染同事的支付宝账户直接登录她的淘宝账户。 她的家庭住址、公司地址、联系方式一目了然。 再加上记者提前更改了支付密码，充值或者网购完全无忧。

修改京东支付密码，需要验证6位原始数字密码、短信验证码、用户名下的银行卡号。

微信和QQ虽然都是社交应用，但也涉及到微信钱包和QQ钱包。 即使记者成功登录他人的微信或QQ，在付款时仍需要输入用户的原始支付密码来验证身份。 但与支付宝类似，如果你有用户的姓名、银行卡号、身份证号和短信验证码，就可以成功更改用户的支付密码。

测试结果显示，银行应用程序最安全，其次是支付宝和微信支付。 虽然大多数电商、社交、邮件应用只需要手机号码和短信验证码即可登录，但如果涉及到支付，则需要验证更多的个人信息。

深入分析

风险根源：隐私数据泄露

通过上述测试不难发现，即使用户遭遇GSM劫持+短信嗅探，如果个人信息不泄露，诈骗者也只能登录账户，无法完成支付、转账等操作。

风险的根源在于信息泄露。 黑产品攻击会考虑成本效益，根据目标值采取相应的技术手段。 对于普通网民来说，从私人数据入手仍然是最便宜的。

“简单的密码基本上没什么用，它们都在黑客的密码字典里。” 李铁军表示，大多数密码都是加密存储的。 存在密文，通过解密算法无法得到明文。 然而，一些网站此前已在其数据库中包含纯文本和加密文本。 泄露了，明文和密文形成一张表，这就是黑客的密码字典。

“几年前，泄露的信息量达到数亿，黑客拥有数百亿的社会工程数据库数据。 除非密码特别复杂、个性化、经常更改，否则基本上都在黑客的密码字典中。 ”李铁军告诉《IT时报》记者。

许多资金盗窃和欺诈案件都是由地下黑图书馆的信息助长的。 日常生活中，用户信息泄露的渠道有很多。 黑客拖图书馆、网站销售、各种电商订单等渠道都可能成为用户信息被泄露和出售的来源，比如预订酒店时提供的姓名、身份证号码、手机号码等。 如果酒店管理不严格或者系统存在漏洞，用户就会瞬间泄露三项关键信息。

线上黑产的工作流程是怎样的？ 微信辰辰网络技术有限公司DLG安全研究实验室一位人士告诉《IT时报》记者，这条产业链分工明确，是有组织、有计划的团伙式犯罪。 流程大致分为开发生产、批发零售、诈骗实施、赃物流通销售四个过程。 还有人负责制作钓鱼编辑器、木马开发、假基站等黑产品所需的软硬件。 他们然后通过钓鱼零售商和域名经销商分发这些工具，然后去进行线下分发或在线诈骗，而这些钱被诈骗成功后，会有专门的财务会计师来洗钱，比如购买Q人民币币，然后卖Q币。 洗完的钱通过分享赃物的中间人进行分配和出售。 “在这个黑色产业链中，银行卡经销商、电话卡经销商、身份证经销商也算黑色产业的成员，但相对边缘化。” 上述白色家电帽子秤。

国内有多少用户信息被泄露很难估计，但从今年7月山东省破获的一起侵犯公民个人信息的重大案件中可以看出。 本案中，公安机关查获数百亿公民信息数据，涉案数据隐私性强，包括手机号码、互联网基站码等40多个信息要素，记录了具体的上网行为每个手机用户的信息，甚至一些数据都可以直接进入公民个人账户的主页。

记者手记

不要认真对待你的身份证号码

看到“寒江雪中独钓”的经历，并与几位安全专家聊天后，记者感觉自己就像一个“网络上的透明人”。 他一口气改了多个密码，并将之前设置的密码全部删除。 关于保密问题，专家开玩笑说：如果你意识到自己是透明的，你就会更安全。

当我们习惯了把生活转移到网络上时，那些行为痕迹就很难在网络上抹去。 各种带有个人信息的数据在互联网上几乎随处可见并且很容易获取。 李彦宏曾表示，中国消费者愿意提供自己的数据来换取一些好处。 虽然这种观点遭到了网友的诟病，但事实上，你仔细想想，你是否曾经为了“薅羊毛”而在网站上实名注册过呢？ 失去了身份？

另外，随着手机实名制的日益普及，越来越多的互联网公司使用手机短信验证码作为自身的安全屏障。 各大银行、网银、网上商城、团购网站、票务公司等使用短信验证的企业确实可以依靠手机卡实名制大大减少非法注册。

然而，当短信验证码可以在与资金直接或间接相关的应用中进行登录、修改密码等操作时，大家似乎都忽略了，您和账户之间只有一个验证码。 建立在2G GSM网络上的短信验证就像在海滩上建造互联网账户安全大楼，很容易被黑客攻击。

当然，安全性和便利性从诞生之日起就一直处于拉锯状态。 一个是高的，另一个是低的。 从目前来看，确实很难找到一种比短信更方便、更快捷、能够广泛应用的验证方式。 然而，每一步都通向魔法的高度。 随着黑客技术的不断进步，突破互联网的防线，各个互联网企业是否也能把自己的防护墙筑得更高呢？ 事实上，有专家表示，除了短信验证码之外，互联网企业还可以通过设备信息、地理信息等更多数据进行内部逻辑循环判断。 这个动作不会影响前端的用户体验，反而可以更好地判断“你是你”。

希望这只是一个让你倾家荡产的验证码示例。