－－

微博网友@ -美年达芬奇 （豆瓣ID“独钓寒江雪”）7月30日发现，凌晨她的手机收到了100多条验证码，支付宝、京东、银行什么都有。

有人使用她的京东账户、支付宝等等，预定房间、给加油卡充值，总计盗刷了1万多元。对于这起案件，很多人怀疑是“GSM劫持 短信嗅探”，我们尚未看到公安机关或者运营商的官方声明，所以还不能确定这是一起短信验证码劫持嗅探攻击。

但是！但是！短信验证码确实不是一个安全的通道，需要各应用的开发者和广大用户提高警惕。

攻击手段

首先列举一下窃取短信验证码有哪些攻击手段：攻击等级：*号表示难度

0. 伪基站垃圾短信 *

1. 嗅探GSM短信 **

2. GSM中间人获取手机号码 ***

3. 将从3G/4G降级到2G ****

4. 3G/4G中间人攻击 *******

我们简单讲解一下这几种攻击方法的原理。

0级攻击 – 伪基站垃圾短信

伪基站发垃圾短信这种攻击手法大家已经熟知。不法分子直接拉着大功率的伪基站出去，大把大把的撒垃圾短信。就像发小广告一样，发一大堆，总有那么一两个中招的。