伪基站钓鱼成信息安全重灾区 年损失达100亿

伪基站钓鱼一直以来都是导致金融巨额损失的重灾区，即使在法律和技术进行安全管控的情况下，形势也变得越来越严峻。《经济参考报》记者获悉，“中国 互联网网络安全威胁治理联盟”成员之一的白帽会在2016年3月份针对金融领域的伪基站钓鱼的黑色产业链进行调研，其追踪到的1947个钓鱼网站，截获了 超过50000个金融客户的账号，去重后有超过19000受害用户信息，账号主要覆盖工商银行、建设银行、农业银行、邮政储蓄银行、中国银行以及其他城商 行，保守估计受害金额达2亿元，其中单个用户最大金额超过100万元。

这仅仅是冰山一角。记者调研发现，一条围绕伪基站钓鱼的黑色产业链条正在形成，并通过严密的组织和流程获取金融用户的账号信息(银行卡账号、密码、身份证号等)，进而进行大批量金额的转出，成为影响网络安全的一颗毒瘤。

360互联网中心安全专家刘洋透露，即便是手法最简单的网络诈骗，也至少需要10人的犯罪团伙。

从开发制作、批发零售到诈骗实施、分赃销赃，网络诈骗可划分出钓鱼编辑、木马开发、盗库黑客、电话诈骗经理、短信群发商、在线推广技师、财务会计师 等15个不同工种，他们分工明确、协同作案，形成了完整的网络诈骗地下产业链。初步统计，网络诈骗从业者至少有160万人，“年产值”可能超过1100亿 元，已成为继赌博和色情产业之后的中国第三大黑色产业。

白帽汇首席安全官邓焕向《经济参考报》记者了这一隐蔽的产业链条第一步是搭建网站。市面上搭建一个完整的钓鱼网站价格也就在1000元到 1500元，因为打击力度很大，通常域名的存活周期非常短，一般有效周期为1-7天，基本是打一枪换一个地方;第二步是木马制作。由程序开发人员进行开发 后，以几千元不等的价格将源码卖给下级代理进行二次开发出售(根据各大杀毒库的更新情况制作“免杀”)以每周2000元的价格出售;第三步，伪基站发送钓 鱼短信主要靠线下交易，包吃包住包油钱、以每小时500元左右为酬劳或以合作分成的方式，让有伪基站设备的人带着伪基站游走在繁华的街区，进行大范围的撒 网(发送钓鱼网站)。

邓焕说，一旦收集到的信息到达一定规模，就可以实施整个链条中最为重要的环节——“出料”和“洗料”。将钓鱼网站后台收到的数据进行筛选整理，比如利用各个银行的在线快捷支付功能情况查余额，看看是否可以直接消费进行转账或第三方支付进行消费等，并把自己无法消费的余额部分出售。

“国内对各类混乱的支付渠道缺乏有效安全监督，窃取用户姓名、证件号码、银行卡号、银行密码、手机密码后，黑产团伙一般通过银行、商户、第三方支付 等渠道将用户卡中资金转走。”邓焕说，变现方式也是花样百出，一般开通快捷支付充值水电、话费、游戏币或者利用其他存在第三方支付转账接口和银行快捷支付 漏洞等，将“四大件”变成现金后通过各种规避追查的手段与合伙人按比例分账，日均可以赚取10万元以上。

中国互联网协会《中国互联网站发展状况及其安全报告(2015)》显示，共有6116个境外IP地址承载了93136个针对我国境内网站的仿冒页 面，仿冒页面数量较2013年增长2.1倍。虽然各部门都在配合打击钓鱼欺诈类网站，越来越多的黑产团伙，开始利用频繁更改域名，租用境外服务器等手 段躲过有关机构的监管拦截，导致钓鱼欺诈现象屡禁不止。相关监控数据显示，每天都有大量新增的钓鱼网站上线，这些钓鱼网站时效性短，部署搭建容易，成本低廉。保守估计，中国金融领域每年遭受伪基站钓鱼攻击导致的金额损失高达100亿元。

360互联网安全中心发布的《2015年中国网站安全报告》数据显示，2015年中国最大的漏洞响应平台补天平台共收录了1410个可能造成网站上的个人信息泄露的漏洞，涉及网站1282个，可能导致泄露的个人信息量高达55.3亿条。

专家建议，鉴于目前网络诈骗仍然呈现高发态势，个人也要加强对自己信息安全的保护。特别是在输入个人重要信息时要仔细甄别网站的域名，在日常使用手 机时，不随意登录不明WiFi，不打开不明短信中的链接，不下载不明软件;PC和电脑中安装安全软件，及时查杀木马病毒软件，拦截钓鱼链接;一旦发现受 骗，要立即向公安机关和猎网平台报案。