2013十大手機安全威脅:"偽基站"造百億垃圾短信

據CNNIC最新統計，國內手機網民規模在2013年達到3.88億，超越PC成為最大的上網終端。與此同時，手機用户面臨的黑客攻擊也愈演愈烈。由於手機直接關聯着話費、短信、通訊錄等用户財產和私密信息，手機中招後果相比PC也更加嚴重。

根據黑客攻擊的影響範圍和危害程度，360手機衞士發佈《2013年度十大手機安全威脅榜》，全面盤點偽基站、惡意二維碼、安卓木馬、GSM短信漏洞等新興威脅，警示網民提升移動上網安全意識，注意防範潛伏在身邊的手機安全威脅。

一、偽基站氾濫，克隆銀行號碼發詐騙短信

2013年，一種名為偽基站的強發垃圾短信和詐騙短信的攻擊方式氾濫。據不法商家宣稱，其一個月賣出偽基站上百台，而一台偽基站每小時最多可發3萬條短信。不法分子將其放入車中，在人羣密集的街道和小區自動搜索附近手機卡信息，發送廣告或詐騙短信，甚至冒充95588等銀行號碼誘騙中招者訪問虛假網銀，盜刷銀行賬户資金。

針對偽基站攻擊，360手機衞士等安全軟件也已推出攔截功能。保守估計，今年國內由偽基站發出的短信達到上百億條規模。

二、應用市場良莠不齊，“簽名”漏洞再添亂

安卓平台的開放性，決定了手機下載會像PC一樣危機四伏，一些不良的應用市場尤其成為手機木馬重災區。特別是在2013年以來，安卓連續曝出三個高危級別的系統“簽名”漏洞，黑客可在不破壞數字簽名的情況下，將木馬植入正常應用，從而混入應用市場進行傳播，實現偷賬號、竊隱私、竊聽、打電話或發短信等多種惡意行為。對此，安卓用户除了注意定期對手機進行安全檢測以外，更要加強安全下載意識。

三、手機木馬瞄準短信驗證碼，威脅支付安全

短信攔截和竊取類手機木馬迅速氾濫，最典型的是名為“隱身大盜”的安卓木馬家族。此類木馬運行後會監視受害者短信，將銀行、支付平台等發來的短信攔截掉然後聯網上傳或轉發到黑客手中。黑客利用此木馬配合受害者身份信息，可重置受害者支付賬户，國內已出現多起“隱身大盜”侵害案例，有受害者損失高達十餘萬元。

目前有網站以1000元的價格公開售賣短信攔截類木馬，智能手機用户應安裝手機安全軟件並保持更新，以防手機安裝應用時不慎感染木馬。

四、二維碼成手機木馬入侵通道

二維碼有風險，見碼就掃易破財。隨着安卓智能手機普及，惡意二維碼成為黑客定向發送手機木馬的途徑。據360網購先賠用户反饋，不法分子往往針對網店賣家，以“購物清單”等名義發送惡意二維碼。賣家掃描後會下載手機木馬，一旦安裝就中招，導致手機號、短信等信息泄露，甚至危及網銀和支付賬户資金，安卓用户應予以警惕。

五、熱門電視節目遭利用，“爸爸去哪兒”最危險

利用熱門電視節目發送虛假中獎短信是很老套的詐騙方法，但隨着湖南衞視《爸爸去哪兒》節目的熱播，騙子們也盯上了這個新節目。2013年，以《爸爸去哪兒》名義發送的虛假中獎短信氾濫，根據360手機衞士數據，每天由用户舉報的此類中獎詐騙短信高達上萬條。

除了使用手機衞士攔截詐騙短信以外，電視觀眾、尤其是中老年人還應提升安全意識，切不可重蹈被中獎短信連騙30萬還執迷不悟的“大媽”覆轍。

六、山寨手機預裝木馬，暗中吸費更頑固

新買的手機沒用多久，話費就噌噌被扣光了？當心買到預裝吸費木馬的手機，這種現象在一些山寨機和水貨手機中並不少見，其中有些是山寨廠商自己預裝了手機木馬，有些則是經過經銷商二次刷機或“白卡”解鎖的水貨手機被刷入固件木馬。

手機預裝木馬相比普通木馬更加頑固，而且還會破壞手機安全軟件。消費者如遇到手機“先天帶毒”情況，可使用360手機衞士有效查殺固件木馬，必要時也可以考慮重新刷一套純淨ROM。

七、“掛馬”漏洞來勢兇，可疑鏈接不要點

只要點一下鏈接，手機就會被他人控制發短信或安裝惡意應用。今年9月，安卓系統WebView開發接口引發的掛馬漏洞曝光，國內大批熱門應用和手機瀏覽器中招。

黑客通過受漏洞影響的應用或短信、聊天消息發送一個網址，安卓手機用户一旦點擊網址，手機就會自動執行黑客指令，出現被安裝惡意扣費軟件、向好友發送欺詐短信、通訊錄和短信被竊取等嚴重後果。目前該漏洞已被各大應用升級修補，智能手機打補丁也將成為慣例。

八、熱門應用成木馬首選“寄主”

鐵路1206手機客户端剛剛推出，大量山寨版就在網上湧現，打着查詢、搶火車票旗號傳播手機木馬。這些手機木馬帶有竊取用户12306賬號密碼、偷流量、吸費等危害。在整個2013年，木馬將熱門應用作為“寄主”的情況也非常普遍。

360提醒用户要從官方渠道或安全市場下載應用，切莫輕信手機搜索上的推廣鏈接。

九、GSM漏洞可致短信被黑客監聽

通信層面的安全漏洞造成的威脅往往是最難以防範的。2013年，360安全中心首家發佈紅色警報，由於國內運營商對部分地區的GSM制式的數據通信沒有加密，黑客可以監聽自己所在基站覆蓋範圍內所有GSM制式手機(移動、聯通的2G用户)的通信內容。一旦手機短信內容被黑客獲取，手機號碼所綁定的網上支付、電子郵箱、聊天賬號等重要賬户將全部面臨被盜風險。

對此360建議，GSM手機用户收到各種短信驗證內容時應提高警惕，一旦發現不是由自己發起的網上支付或“找回密碼”短信，應立即聯繫銀行和支付平台客服求助。此外，網民應注意對個人信息嚴格保密，以免身份證號等重要信息泄露。

十、蘋果漏洞也瘋狂，阿拉伯字符成武器

即便是封閉的蘋果iOS系統，也可能因為漏洞攻擊而變得脆弱。今年8月，短短一條阿拉伯語字符串在網上走紅，只要通過短信、微信消息、朋友圈、微博等方式把字符串發送給iPhone手機用户，就會造成對方應用閃退崩潰。

事實上，iOS上的漏洞數量並不亞於Android、WP等其他系統，其中不少漏洞可以利用遠程攻擊，iOS漏洞價值在國外黑客交易市場也居高不下，吸引了更多黑客火力。而對於iPhone用户來説，及時更新系統，謹慎點擊可疑消息是防範威脅最好的辦法。