你剛點(diǎn)開(kāi)一個(gè)鏈接，頁(yè)面跳出熟悉的驗(yàn)證碼框——點(diǎn)擊"我不是機(jī)器人"，然后系統(tǒng)讓你發(fā)條短信到某個(gè)號(hào)碼"完成驗(yàn)證"。這條短信可能正在掏空你的話費(fèi)。

網(wǎng)絡(luò)安全公司Infoblox的最新報(bào)告揭露了一種從2020年6月就存在的詐騙手法。它不靠釣魚(yú)鏈接，不靠惡意軟件下載，而是利用一個(gè)你每天都在用的東西：手機(jī)短信。

四年未止的"驗(yàn)證"騙局

Infoblox研究人員David Brunsdon和Darby Wise追蹤發(fā)現(xiàn)，這場(chǎng)針對(duì)驗(yàn)證碼（CAPTCHA）的詐騙至少?gòu)?020年6月就開(kāi)始活躍。他們鎖定了17個(gè)國(guó)家的35個(gè)電話號(hào)碼，全部用于接收受害者"自愿"發(fā)送的短信。

詐騙的精妙之處在于延遲傷害。國(guó)際短信費(fèi)用不會(huì)即時(shí)提醒，受害者往往在幾周后收到賬單時(shí)才察覺(jué)異常。此時(shí)，那次"驗(yàn)證我是人類(lèi)"的網(wǎng)頁(yè)互動(dòng)早已被遺忘，多數(shù)人只會(huì)歸咎于運(yùn)營(yíng)商計(jì)費(fèi)錯(cuò)誤，而非追溯到一個(gè)早已關(guān)閉的釣魚(yú)頁(yè)面。

研究人員指出，這種低感知、低追溯的特性，正是該詐騙長(zhǎng)期未被廣泛報(bào)道的核心原因。

多步驟陷阱：一條變五十條

這不是簡(jiǎn)單的"發(fā)一條短信"騙局。Infoblox拆解了假驗(yàn)證碼的完整流程：頁(yè)面顯示多步驟驗(yàn)證，每一步都預(yù)設(shè)了十幾個(gè)國(guó)際號(hào)碼。受害者以為自己在完成一次人機(jī)驗(yàn)證，實(shí)際上系統(tǒng)正在后臺(tái)觸發(fā)向50多個(gè)國(guó)際目的地的短信發(fā)送。

「假驗(yàn)證碼有多個(gè)步驟，每條由網(wǎng)站生成的消息都預(yù)設(shè)了十幾個(gè)電話號(hào)碼，這意味著受害者不是被收取單條短信費(fèi)用——而是被收取向50多個(gè)國(guó)際目的地發(fā)送短信的費(fèi)用�！笲runsdon和Wise在報(bào)告中寫(xiě)道。

費(fèi)用流向何處？攻擊者通過(guò)與電信運(yùn)營(yíng)商的收入分成協(xié)議獲利。你的每一條"驗(yàn)證短信"，都在為詐騙者的賬戶(hù)充值。

流量劫持：如何被精準(zhǔn)投放

詐騙頁(yè)面的觸達(dá)依賴(lài)惡意流量分發(fā)系統(tǒng)（TDS）。商業(yè)TDS服務(wù)原本用于合法的流量篩選和廣告投放，卻被攻擊者 weaponized（武器化）——它們根據(jù)用戶(hù)設(shè)備、地理位置、瀏覽器類(lèi)型進(jìn)行實(shí)時(shí)判斷，只把"高價(jià)值目標(biāo)"導(dǎo)向假驗(yàn)證碼頁(yè)面。

這意味著，如果你在某一刻看到了這個(gè)騙局，說(shuō)明系統(tǒng)已經(jīng)判定你值得被投放。TDS的篩選機(jī)制確保了詐騙資源的精準(zhǔn)消耗，也解釋了為什么同一鏈接在不同設(shè)備上可能呈現(xiàn)完全不同的內(nèi)容。

防御的唯一法則

Infoblox在報(bào)告標(biāo)題中直接給出結(jié)論：「Unfortunately, it needs to be said: Do not send a text to confirm you are human」（很遺憾，但必須明說(shuō)：不要發(fā)短信來(lái)證明你是人類(lèi)）。

真正的驗(yàn)證碼從不要求用戶(hù)主動(dòng)發(fā)送短信。Google reCAPTCHA、Cloudflare Turnstile等主流方案均基于行為分析、圖像識(shí)別或無(wú)聲令牌驗(yàn)證，無(wú)需任何出站通信。任何要求你發(fā)送短信"完成驗(yàn)證"的頁(yè)面，都是詐騙。

對(duì)于已經(jīng)遭遇的用戶(hù)， researchers 建議立即聯(lián)系運(yùn)營(yíng)商核查國(guó)際短信費(fèi)用，并向相關(guān)機(jī)構(gòu)舉報(bào)涉事號(hào)碼。但最有效的止損，發(fā)生在點(diǎn)擊"發(fā)送"之前。

為什么這件事值得警惕

這場(chǎng)騙局的危險(xiǎn)性不在于技術(shù)復(fù)雜度，而在于它對(duì)用戶(hù)心智的精準(zhǔn)利用。"驗(yàn)證碼=安全"的認(rèn)知慣性被反向劫持——攻擊者復(fù)制了熟悉的界面語(yǔ)言，卻把驗(yàn)證動(dòng)作替換為付費(fèi)行為。

四年運(yùn)營(yíng)、35個(gè)號(hào)碼、17個(gè)國(guó)家、50+短信目的地——這些數(shù)字勾勒出一個(gè)被低估的威脅模型：當(dāng)基礎(chǔ)設(shè)施（TDS、電信分成）成熟到可以流水線化運(yùn)營(yíng)時(shí)，最簡(jiǎn)單的交互設(shè)計(jì)也能成為高效的獲利工具。

對(duì)科技從業(yè)者而言，這是產(chǎn)品安全設(shè)計(jì)的警示案例。驗(yàn)證碼機(jī)制的信任基礎(chǔ)正在被系統(tǒng)性消耗，而用戶(hù)教育始終是最后一道、也是最脆弱的一道防線。