52万余个手机号遭“轰炸”！腾讯呼吁社会各界共同打击“短信轰炸”黑产

 近日，按照公安部“净网2021”专项行动部署，徐州网安部门重点围绕源头性犯罪和黑灰产进行巡查摸排，发现有不法分子在网上销售“神呼”等“呼死你”恶意骚扰平台账号的违法犯罪行为。

徐州网安部门在工作中发现，有不法分子在网上销售“神呼”等“呼死你”恶意骚扰平台账号，叫嚣“呼到你哭天喊地”，影响十分恶劣。针对相关线索，徐州网安部门在江苏省厅网安总队指导下和腾讯“守护者计划”安全团队的协助下，通过缜密侦查，摸清了“语音闹钟”、“一秒云”、“烈火凤凰”等21个“呼死你”恶意骚扰平台的建设管理人员、主要用户、销售代理等。经查，不法分子仅2021年9月以来，利用上述平台发起短信、电话轰炸184万余次，被轰炸手机号达52万余个。对此，徐州市公安局抽调200余名精干警力分赴全国20个省47个地市开展集中收网，由此打掉“呼死你”犯罪团伙5个，捣毁恶意骚扰平台 21个，抓获犯罪嫌疑人92名，守护了人民群众的安全感和通信权。

所谓“呼死你”，就是能够让受害者短时间内高频接到大量电话或短信骚扰的软件。由于能够导致被侵害人通讯完全中断，严重影响被侵害人的生活。腾讯“守护者计划”安全团队研究发现，“短信轰炸”大多数是为了报复受害者而实施，比如通过短信轰炸报复在生活中产生纠纷的人，电商卖家得到差评报复消费者等。而近年来，越来越多的诈骗案件中也出现了采用电话短信轰炸手段的新情况，在冒充领导或亲友诈骗的案件中，通讯轰炸可导致受害者无法联系上当事人核实情况，增加了被骗的风险。

腾讯“守护者计划“安全专家庄生介绍，轰炸网站或软件通过爬虫手段搜集大量正常企业网站的发送短信接口（CGI接口），由此集成到轰炸网站或者轰炸软件。当其发出相关指令后，这些企业网站的大量正常验证码信息将在短时间内一并发送到指定手机上，对受害者实施骚扰。

令人细思极恐的是，这些短信均来自于用户登录的各种网站或APP。这同样意味着，每一个社会个体都有可能成为短信轰炸的潜在受害者。一些企业网站因为自身安全防护措施不够到位，无意间成为了短信轰炸的“帮凶”，不停地给受害人发送验证短信。

除了被“轰炸”的老百姓，这种利用企业下发短信接口的方式，让相关企业也成为了短信轰炸的直接受害者。据悉，企业需要对每条短信承担几分钱到一两毛钱不等的损失，有的企业一天因短信轰炸就可损失上万元。

如何斩断“短信轰炸黑产”链条，腾讯“守护者计划”安全专家庄生表示，使用简单的云滑块验证码人机校验，就能够有效解决传统短信下发认证方式屡屡被黑产利用的情况。这一校验方式的核心在于通过人机对抗来判断操作方到底是正常人，还是一个机器，只需要简单在下发短信验证码之前加入一个滑块验证码进行人机的识别，就能够防止被轰炸工具自动调用接口。

使用云滑块验证码人机校验后，企业也可以同时加入安全策略，快速判断这个用户是可信用户、可疑用户还是恶意用户，进而根据用户分析来实施不同的安全策略：如果是可信用户，就不需要做图形验证，如果是可疑或者恶意用户，则给予不同等级的安全难度验证码提高安全性。

除此之外，企业还可以通过上行短信认证、复杂人机校验（如谷歌和12306的人机校验）等方式来增加安全性。同时，通信运营商也面向各企业提供了号码认证、超级SIM卡等多种免验证码的认证方式，通过这些方式，用户登陆时可一键验证本机号码，无需通过接受验证码做验证。

目前，腾讯公司几乎所有产品网站的短信验证码下发都加上了滑块验证码等人机校验方式，切实做好了防止被短信轰炸所利用，保障用户互联网安全。

如今，互联网已经深度浸润大众的日常生活。网络上各种企业网站、APP数以万计，但“呼死你”危害频发，背后链条隐秘而庞大，要想破局绝非一人一时之功。严打“短信轰炸”黑产，亟需社会共治。腾讯“守护者计划”呼吁社会各界，共同关注短信轰炸黑产治理难题，切实保障广大互联网用户的安全和体验，守护网络空间清朗有序。