近日，工信部通報一季度垃圾資訊投訴情況。資料顯示，騷擾電話投訴情況方面，從季度投訴量來看，2021年一季度投訴量環比大幅下降。垃圾簡訊投訴情況方面，2020年一季度投訴量高企，2020年二季度以來，各季度投訴量水平明顯下降。值得注意的是，自2020年一季度以來，點對點垃圾簡訊投訴量佔比逐季度下降，埠垃圾簡訊投訴量佔比逐季度上升。
從地域分佈來看，受垃圾簡訊騷擾最嚴重的地區包括廣東、河南、江蘇、山東、浙江等。
手機打電話和發簡訊本是再正常不過的功能，但是近年來卻被不法分子利用，成為了一種攻擊他人的新型技術手段，手機使用者受到“通訊轟炸”，被簡訊和電話騷擾的惡性事件越來越多。6月2日，騰訊守護者計劃聯合廣州白雲警方就破獲的“簡訊轟炸”案件情況接受了南方+記者的採訪，並深度解析背後的黑產、技術鏈條。
據南方+記者瞭解到，近日，廣州市公安局網路警察支隊和白雲區公安分局聯合偵查，打掉一個利用網際網路架設“24雲呼”平臺，干擾手機通訊通話的新型犯罪團伙。
據廣州市公安局白雲分局民警郭普生介紹，名為“24雲呼”的惡意軟體透過控制遍佈全國的掛機手機對被害人實施“轟炸”，以軟體“開發者”為源頭，與“運營者”“代理商”“使用者”形成了一個完整的黑色產業鏈條。“雲呼”使用者透過向代理商購買充值卡，在該平臺充值26元就能惡意呼叫5000次。
廣州市公安局網路警察支隊和白雲區公安分局透過聯合偵查，最終抓獲了一個利用網際網路架設“24雲呼”平臺，干擾手機通訊通話的新型犯罪團伙，查獲“24雲呼”賬號3700多個。經瞭解，“24雲呼”平臺自2020年11月上線以來，已進行了586萬餘次呼叫。
（圖為作案團伙的掛機手機）
據騰訊安全平臺部高階研究員程斐然介紹，如今“簡訊轟炸”產業鏈中的黑產從業人員開始利用網際網路產品的簡訊驗證服務，對受害者進行“轟炸”。使用者平時登入各種網站或APP時，往往需要往手機下發驗證碼，“簡訊轟炸”黑產則瞄準了這一“商機”，透過爬蟲手段蒐集大量正常企業網站的傳送簡訊介面（CGI介面），整合到“轟炸”網站或者“轟炸”軟體上，用以非法牟利。
“轟炸”網站或軟體發出指令後，這些企業網站的大量正常驗證碼資訊會在短時間內傳送到指定手機上，甚至可以實現單一網站給同一手機號傳送多條驗證碼資訊。
（圖為簡訊轟炸技術原理）
由於“簡訊轟炸”軟體的生產成本極低，並能帶來穩定的獲利，這讓越來越多的黑產傾向於雲化改造——在境外的雲主機上直接以極其低廉的價格購買雲服務，再透過髮卡平臺購買簡訊“轟炸”網站的模板。這其中，購買海外雲主機的成本每個月僅需20-30元，一個有3個月程式開發基礎的“指令碼小子”能在4小時內完成一個“簡訊轟炸”網站的部署和上線，每月成本不到50元，但是非法獲得的收入卻超過數千元，誘惑力十足的投入產出比也讓更多“簡訊轟炸”黑產參與進來。
據南方+記者瞭解到，目前，“簡訊轟炸”已成為挾私報復的常用手段。比如，催收等軟暴力犯罪者透過使用“簡訊轟炸”攻擊受害者，迫使受害人還款；收到差評的電商平臺賣家利用“簡訊轟炸”對消費者進行報復等等。黑產團伙藉助非法網路平臺侵害使用者合法權益，助長惡意報復、軟暴力催收等行為，嚴重影響社會穩定。
程斐然在接受採訪時表示，“簡訊轟炸”已形成較完善的產業鏈。運作“簡訊轟炸”依賴於技術開發者、網站/APP運營者與使用者三類群體。據騰訊安全平臺部對此類風險軟體的深入調查，目前市面上可搜到的“簡訊轟炸”網站約有3000餘個、有超過5000個的簡訊介面疑似被用於實施“簡訊轟炸”，介面型別包括各大網際網路企業、運營商對外服務埠、甚至有很多政府服務類網站，這無疑嚴重影響正規企業網站的簡訊驗證碼功能，有損企業形象，也增加了企業不必要的費用開支。
（圖為某“呼死你”APP在境外通訊網站上的廣告）
在業內人士看來，“簡訊轟炸”會造成簡訊通道阻塞、企業品牌形象受損、簡訊費用被大量惡意消耗等負面影響，對使用者的手機通訊和正常生活帶來困擾。如何破局“簡訊轟炸”，無疑是個亟待解決的問題，而其中的難點與網際網路的產品形態息息相關。
大部分的網站和移動應用APP在註冊時需要手機號碼獲取驗證碼簡訊，利用簡訊驗證來鑑別手機號是否屬於使用者本人。然而，這種驗證方式背後卻暗藏許多安全隱患。其中最主要的一種就是黑產利用各類平臺的簡訊驗證介面進行簡訊轟炸。
在下發驗證碼前加一層校驗，可以有效地防止黑產惡意利用，但此時，企業也需要承擔使用者流失的風險，因為多加一步動作，就意味著使用者轉化率可能降低。
另一方面，由於這類“簡訊轟炸”模式利用的是海量網站，這就意味著傳統單業務線頻控的安全策略對這種利用無效，即便被呼叫簡訊介面的企業有防範措施，但因該類網站或軟體一般整合的簡訊傳送介面都會放在本機上呼叫，這樣防護措施只會對當前使用網站或軟體的作惡人員的IP有用，其他不同IP則不受限制。而有些“簡訊轟炸”軟體為了提高可用度，會在軟體內建代理IP繞過簡訊介面的限制，達到無限制對外發送大量簡訊的目的。
面對防不勝防的“簡訊轟炸”，需由被動防禦走向主動治理，騰訊守護者計劃安全團隊針對企業從源頭上防範“簡訊轟炸”黑產提供了幾點建議。
其一是對被黑產利用的驗證碼介面增加人機驗證，如圖形驗證碼等基礎防範策略，提高黑產團隊惡意利用介面的門檻，壓縮黑產生存空間。比如騰訊驗證碼能根據使用者多維環境因素，精確區分可信、可疑和惡意使用者，彈出不同的驗證方式，帶來更精細化的驗證體驗。
其二是針對移動端打造一鍵驗證方案，替換過時的簡訊驗證碼。如騰訊雲號碼認證服務集成了三大運營商特有的閘道器取號、驗證能力，自動透過底層資料閘道器和簡訊閘道器識別本機號碼，在不洩漏使用者資訊的前提下，安全、快速地驗證使用者身份，一鍵免密註冊和登入。
此外，網際網路企業還能透過統一風控服務，在下發簡訊驗證碼前，根據風控結果有選擇地打擊；支援QQ、微信等授權登入方式，儘可能的減少簡訊驗證帶來的風險；針對簡訊驗證碼的傳送量級做好監控，及時發現異常監控。
【記者】葉丹
【實習生】黃雅怡
【作者】 葉丹
【來源】 南方報業傳媒集團南方+客戶端