伪基站的漏洞是什么

北京市公安局相关负责人表示，伪基站违法犯罪行为是严重扰乱公共电信网络运营秩序、破坏国有运营商计算机信息系统、非法侵害窃取公民移动终端存储的个人信息的新型违法犯罪活动。如果我们想要侦破伪基站，就要抓住伪基站的漏洞，伪基站的漏洞是什么呢?

“伪基站”即假基站，设备一般由主机和笔记本电脑或手机组成，通过短信群发器、短信发信机等相关设备能够搜取以其为中心、一定半径范围内的手机卡信息，利用2G移动通信的缺陷，通过伪装成运营商的基站，冒用他人手机号码强行向用户手机发送诈骗、广告推销等短信息。

伪基站漏洞

2015年4月27日上午，国内互联网安全漏洞平台乌云网发布了一则名为“某新伪基站钓鱼网站导致大量银行卡泄露”的漏洞。

根据该漏洞显示，该漏洞造成了用户资料大量泄露。被泄露的用户资料中包含用户银行卡等多个敏感信息。根据乌云网统计，从伪基站泄露银行卡信息的用户粗略估算有数百万，2015年每年大约有十万左右用户被骗信息。

“伪基站”即假基站，通过短信群发器、短信发信机等相关设备能够搜取以其为中心、一定半径范围内的手机卡信息，通过伪装成运营商的基站，冒用他人手机号码强行向用户手机发送诈骗、广告推销等短信息。

根据乌云网一位“白帽子”不完整统计，每天新增加的钓鱼网站大概有 10 多个。目前被利用伪基站钓鱼且有效的网站大概有2000多个。比较小的钓鱼站每天可能有数十个用户受骗，一般常见的钓鱼网站每天会有100个左右受骗者，有一些专业的骗子集团可以每天骗300多个受害者。乌云白帽子曾发现一个钓鱼网站内有11万受害者的案例存在。

“钓鱼”手法

钓鱼，用来泛指网络诈骗者利用发送不实信息来诱惑用户上当，从而达到获得用户数据信息的目的。

乌云漏洞平台负责人孟卓告诉21世纪经济报道，伪基站作案手法非常相似，这些人首先会注册大量与中国移动等企业的官网类似的域名。作案设备一般都是在一些私人渠道购买到用来群发短信的伪基站设备，然后将事先注册好的钓鱼域名与钓鱼系统(网站、手机应用)通过伪基站下发。

发送短信的内容一般为“尊敬的用户，因您的话费积分没有兑换即将清零，请登录xx网站，下载客户端兑换287.80元现金礼包”。从而骗取用户登录网站，并输入相关银行卡等敏感信息。

孟卓介绍，这种做法利用了GSM协议设计的漏洞，伪基站设备可以伪装成运营商基站，给接入的用户用任意号码下发短信。伪造后难以有察觉。他认为，当前GSM通信协议存在问题，老式的SIM卡并没有验证呼叫方是否合法，也无法验证SMS短信发送方是否来自真实的手机。当然，运营商也在努力，他们推出了一种新型的sim卡叫做USIM卡，声称这种卡片能够有效的防止伪基站，原理就是经过了双向认证确保通信安全。目前移动和联通的2G网络最容易受到伪基站的影响。

除此之外，伪基站还需要建立相关网站等配套平台，这还需要一个钓鱼系统与手机木马。

据孟卓介绍，这套钓鱼套件已经非常成熟。且钓鱼网站界面与官方系统极其相似，提示用户有积分可以兑换现金，然后选择银行卡类型并填写相关信息(姓名、手机、账号、身份证、密码、有效期、CVV2等等)，最终这些敏感的信息被入库纪录进行洗钱。手机木马负责拦截用户短信，并将如银行交易验证码等关键信息发给远程的黑客。

如3月27日，乌云网的另一则名为“一场钓鱼引发的大量网银密码泄漏(各大银行均有中招)”的漏洞显示，攻击者利用10086伪基站进行钓鱼，通过让用户点击兑换积分实施诈骗。登录该页面可获得用户登录网银、身份证、密码等信息。

乌云网“白帽子”破解该网站的后台系统，登录后发现每一个伪基站都掌握7000条以上的银行卡数据。根据用户账号可成功登陆该用户的网银界面。

冒充运营商诈骗

《全国首份伪基站短信治理报告》显示：70.2%的诈骗短信冒充运营商诱导用户点击恶意网址;19.4%的诈骗短信冒充银行实施诈骗;4.6%的诈骗短信内容为欺骗用户订低价机票，诱骗回拨电话进行诈骗。报告建议，不要轻信陌生号码发来的短信，更不要随意点击陌生链接;即使是常见的服务号或好友号码，也要对短信内容进行甄别，最好回拨电话进行咨询验证。

以上就是伪基站漏洞的相关介绍，您是否有所了解呢？更多通讯安全小知识，比如手机垃圾骚扰短信如何处理才安全，尽在佰佰安全网。

责任编辑:邹兰