要想将受害人银行卡上的钱转走,犯罪嫌疑人必须同时获得该用户的姓名、身份证号、银行卡号、手机号和动态验证码。这5个条件就像5把钥匙,一般情况下犯罪分子很难获得,但因为有了受害人的手机号码并能够实时截取动态验证码,犯罪嫌疑人就如同拿到了一把万能钥匙,他们会通过网络来获得其他几把钥匙。
对于一些没有买过保险,或者在淘宝没有登记信息的用户,犯罪嫌疑人会同时登录这个用户其他的多个App。最关键的是支付环节,不少App往往都会对用户的银行卡号刻意隐去几位,那么犯罪嫌疑人又是怎么获得完整的银行卡号呢?
顾某某说:“可以通过充值,我随便点一个充值的方式,立即充值,看付款方式,可以看见你所有的卡。我知道你有建设银行的,我就可以去跑你的卡,像招商银行的和工商银行,我直接通过别的App就直接获取了。”
犯罪嫌疑人获得了受害人的姓名、身份证号、手机号、动态验证码、银行卡号这些信息之后,还会挑选作案对象,查验用户是否有作案价值。
确定了有价值的用户之后,犯罪嫌疑人会再次利用受害人的手机号码加动态验证码,使用免密支付的方式将受害人的钱转移出去。
此时,受害人什么都没有操作,手机上会收到一堆验证码,之后银行卡上的钱就被转走了。这个案件当中,犯罪嫌疑人使用的嗅探设备十分廉价,嗅探技术也不是什么高深的技术,为什么却能屡屡得手呢?
顾某某说:“你在一些App上面去实名注册信息,很多时候是图方便,当你忘记密码的时候,就可以通过短信验证码去登录,这个时候你会感觉到很方便,同时也方便了我们这些犯罪分子去盗取你的个人信息,通过验证码登录,方便了你,也方便了我。”
记者随后在手机上,选择了多个常用的App进行测试,这些App一般都可以通过用户名加密码和手机号加动态验证码两种方式进行登录。当用户忘记密码的时候,可以通过手机号发送验证码的方式找回密码。这一切对用户来说似乎很方便,也很安全。可是不法分子恰恰利用手机号加动态验证码也可以登录的便利,选择在夜深人静、人们防范意识比较低的时候,在自己的手机或电脑上输入用户的手机号,再用截获的动态验证码登录用户的App,达到盗窃用户资金的目的。
王立梅说:“手机加验证码的方式可能是现在大多数的,尤其是在网络空间很多App所通行采用的方法,但是这种验证方式本身它是有一定的安全隐患,也就是说验证码是有可能被截获的,这是其中一个。第二