雙十一購物狂歡背後，詐騙集團利用**惡意二維碼 + 手機木馬 + 快捷支付** 構建完整盜刷鏈條。真實案例還原攻擊全過程，教您辨識紅旗、守住錢包。
案例一：網店賣家張先生 — 掃碼收貨圖 → 木馬植入 → 攔截驗證碼 → 綁定快捷支付 → 盜刷數萬
- 誘餌**：買家聲稱「手機流量不夠發圖」，發送二維碼要求掃描下載「查看圖片/尺寸」App。
- 植入**：掃碼下載安裝 **攔截短信木馬** (偽裝工具類 App，申請「讀取/發送/接收簡訊」權限)。
- 套取資料**：以「付訂金」為由索取 **姓名、身分證、銀行卡號、手機號** (四要素)。
- 盜刷**：盜刷者在快捷支付/無卡支付頁面輸入四要素 → 觸發簡訊驗證碼 → **木馬自動攔截、上傳驗證碼、隱藏通知** → 完成綁卡/支付 → 資金秒轉走。
案例二：網購達人劉小姐 — 偽客服退款/返現 → 索要四要素 → 掃碼「核對身分」 → 木馬植入 → 盜刷 3000 元
- 話術：「雙十一回饋返現 30 元」→ 索要四要素 → 「身分核對有問題，掃碼驗證」→ 實為植入木馬。
- 受害者以為自身謹慎，**實則中了「信任客服/官方身分」的社交工程**。
攻擊鏈路拆解
惡意二維碼 (短網址/動態域名)
↓ 掃描下載
惡意 App (請求 READ_SMS/RECEIVE_SMS/SEND_SMS 權限)
↓ 安裝並授權
木馬服務常駐後台，監聽簡訊廣播 (SMS_RECEIVED)
↓
社交工程騙取「姓名+身分證+銀行卡+手機號」(四要素)
↓
盜刷端發起快捷支付/無卡支付/綁卡 → 觸發銀行發送簡訊驗證碼
↓
木馬攔截驗證碼 → 上傳 C2 / 自動填入 → 隱藏簡訊通知
↓
交易成功 → 資金轉入洗錢賬戶 (虛擬幣/遊戲幣/第三方支付/錢騾賬戶)
四大防護鐵律
| # | 鐵律 | 具體行動 |
|---|
| 1 | 四要素絕不外洩 | 姓名、身分證、銀行卡、手機號 **任何情況下不完整提供給陌生人**；客服/官方**永不會**索要完整四要素辦理退款/返現。 |
| 2 | 不掃不明二維碼、不裝不明 App | 僅用官方應用商店/官網下載；**拒絕「掃碼下載 App/安裝.apk/授權簡訊權限」** 的任何要求。 |
| 3 | 安裝手機安全軟體、啟用權限管控 | 安裝可信安全軟體 (騰訊手機管家、360、金山、Malwarebytes 等)；**定期檢查 App 權限**，撤銷非必要的「簡訊/通訊錄/電話/定位/麥克風/相機」權限。 |
| 4 | 遇盜刷：秒凍卡 → 報警 → 保留證據 | 1. 立即致電銀行 24h 客服 **凍結銀行卡/帳戶**；
2. 向公安報案 (提供掃碼截圖、對話紀錄、交易明細、App 安裝包)；
3. **不自行嘗試「追款/解鎖」**，防二次詐騙。 |
技術層面補充
- **Android 10+** 已限制非預設簡訊 App 讀取/攔截簡訊，但木馬誘導用戶設為「預設簡訊 App」或利用**無障礙服務** 繼續攔截。
- **iOS 封閉生態** 相對安全，**無法直接攔截簡訊**；但詐騙轉向「引導輸入驗證碼/安裝描述檔/企業簽名 App/簽名掉簽重簽」。
- **銀行風控升級**：人臉識別/設備指紋/行為分析/風險評分，但**四要素+驗證碼**仍是部分銀行/支付機構核心驗證鏈，**用戶端防護不可缺位**。
警語：**「掃碼有風險，授權需謹慎；四要素不外洩，驗證碼不給人；遇盜刷先凍卡，報警保證據。」**