凭短信验证码有风险建议叠加刷脸等核验

凭短信验证码有风险建议叠加刷脸等核验

　　 短信验证码的安全性级别相对较低，不法分子通过盗窃手机卡、拦截短信、武力胁迫等手段，获取并凭借短信验证码登录社保账户、公积金账户、银行卡账户和各类第三方支付平台账号，然后查询用户身份信息、银行卡信息等，修改账户密码和交易密码，盗刷银行手机短信提醒络贷款。

　　 讯 短信搞笑炜 隐私护卫队了解到，全国人大代表、致公党上海市委专职副主委邵志清针对增强移动支付安全性提出一些建议。他认为，移动支付为群众带来便利性的同时，也带来了一定的风险性，对“短信验证码”的过分信任就是一个值得注意的隐患。他认为，应适当限制短信验证码的功能并叠加更多身份核验手段，有效提高移动支付的安全性。

　　 去年，成都骆先生（退订短信）因妻子手机被盗取，与专业黑产分子斗智斗勇的故事引起。虽然骆先生拥有短信验证手机络攻防经验，可还是“败下阵来”，被黑产分子利用手机、电话卡等窃取了个人信息，黑产分子甚至盗取银行账户资金并短信验证登录贷并转移资产等操作。

　　 隐私护卫队注意到，黑产分子全程利用正常的业务操作，只是把各个机构的“弱验证”关联起来，就形成了巨大破坏。其中一种“弱验证”方式便是短信验证码，黑产分子借此完成了多个的免密快捷登录、“密码重置”等。

　　 “从技术发展演进和犯罪场景变化的趋势看，没有办法能保证短信验证码的绝对安全。”邵志清介绍，如今许多机构和平台在手机上凭短信验证码就能完成服务。但短信验证码的安全性级别相对较低，不法分子通过盗窃手机卡、拦截短信、武力胁迫等手段，可获取并凭借短信验证码登录社保账户、公积金账户、银行卡账户和各类第三方支付平台账号，然后查询用户身份信息、银行卡信息等，修改账户密码和交易密码，盗刷银行搞笑祝福短信络贷款。

　　 针对这些问题，邵志清建议，首先对短信验证码的部分功能进行适当限制。修改银行卡关联手机号、修改银行卡交易密码、银行卡解除挂失时，必须由持卡人持身份证至银行柜台办理；手机卡解除挂失时，必须由卡主持身份证至电信营业厅办理，“解除挂失是偶发事件，这样做既可更好保证卡主的安全利益，也没有造成太多不便利”。

　　 其次是在短信验证码基础上叠加更多身份核验手段。如果忘记或不知道支付平台的登录密码时，不能仅凭短信验证码登录，而是应该叠加“人脸识别”或“私密问题验证”等技术，确保登录操作者是卡主本人；对于社保卡和公积金账户的登录，也应该设置同样的规则。

　　 然后是加强对大额消费私密短信贷的监控。系统对卡主的消费华为 短信贷行为分别设定一般的限额警戒线，修改额度或额度超过警戒线的消费短信恢复软件贷行为，需要在“密码+短信验证码”基础上，叠加“人脸识别”或“私密问题验证”技术。

　　 此外，为应对在绑架和抢劫等案件中，犯罪分子逼迫受害人交出密码、短信验证码和完成人脸识别的情况，邵志清建议利用“私密问题验证”技术，允许卡主针对私密问题设置两个私密答案，一个是正常答案，一个为报警答案。如果是报警答案，银行和支付平台应该立即启动报警应对机制，拖延交易资金进入对方账户的时间，并立即通知警方跟踪资金流向等。

　　 邵志清还强调，对于利用移动支付途径窃取、抢劫、诈骗别人资产的行为，要严厉打击，从重惩处，既维护金融市场秩序，又促进数字经济平稳健康发展。k22