手机号注册的隐忧

如今我们不管办理什么业务，又或是在任何网站和APP注册账号，首先想到的就是通过手机号码一键登录。这意味着，你的手机号就等同于你的微信、支付宝、银行和各种现金贷客户端的账号（图2）。如果你安全意识不高，这些APP注册时又都用了相同的密码……潛在的安全风险可想而知，基本是一损皆损。

万能的短信验证码

当你在登录各种APP时发现忘记了密码怎么办？没关系，少数APP可以通过短信验证码一键登录，而所有的APP还能使用短信验证码来重置密码（图3）。可以说，短信验证码在今天已然成为了一种“万能”的存在，有了它，登录、认证、重置和支付等流程就将一路绿灯。

本文引言中涉及的案例，就是针对手机号注册和短信验证码“量身定制”的一种诈骗手段：黑客通过“GSM劫持+短信嗅探技术”，可实时获取用户手机短信内容，进而利用各大知名银行、网站、移动支付APP存在的技术漏洞和缺陷，进行信息窃取、资金盗刷和网络诈骗等犯罪行为（图4）。

问题来了，这一整套流程要分很多步骤，难道手机安全方面的漏洞竟然如此严重吗？

验证码和U盾的差异

实际上，自从智能手机和移动支付功能关联捆绑后，从银行到支付工具，相关企业都在研究如何提升安全性，避免可能的盗刷风险。而大家最终“商量”的结果，就是基于短信的二次验证机制。

提起二次验证，相信不少用户都会想起“U盾”（图5）。U盾是银行针对网络支付推出的一种USBkey，当我们需要办理转账、汇款、缴费等支付业务时，必须按系统提示将U盾插入电脑的USB接口，输入U盾密码并进行验证成功后才可完成支付过程。