作者｜陈舟  朱浩然

来源｜电子商务与电子支付国家工程实验室

背景

“伪基站”是当前移动运营商及金融机构面临的一种日趋高发的犯罪手法，并在全国范围内呈蔓延趋势。“伪基站”主要是利用了GSM协议中基站与手机终端间仅单向鉴权的漏洞，通过仿冒正常运营商2G网络的广播网号及频率，将周围手机的信号强行切换至其搭建的虚假网络中，并伪冒运营商或银行客服等主叫号码，向网络内用户群发垃圾短信，并结合钓鱼链接、木马病毒等窃取用户银行卡信息，最终使持卡人资金受损。目前，一套“伪基站”犯罪设备的成本已下降至最低3千元左右，且出现无线遥控式伪基站，这些使得伪基站的问题日益突出。

一、伪基站欺诈手段分析

“伪基站”主要是利用移动通信网中的单向认证安全漏洞，即在GSM和CDMA体制的2G网络、TD-SCDMA及CDMA2000体制的3G网络中，只有网络对用户的认证鉴权机制，而缺乏用户对网络的认证。利用该漏洞，伪基站利用大功率压制或修改网络参数等手段，吸引终端用户加入伪基站，从而可以假冒号码群发短信、打电话；可以实施中间人攻击，在用户无感的情况下，截获分析用户发出的短信、电话，并提取有用信息；提供假的服务、钓鱼网站等。

针对“伪基站”问题，我们进行了相关研究，将基于“伪基站”的金融诈骗归纳为五种：

第一种是使用伪基站仿冒真实客服号码下发诈骗短信，如“您的账号密码已锁定，请访问www.xxx.xxx 或拨打xxxxxx联系客服解决。”短信中的网址或客服电话与真实网址、号码不同，其后台是钓鱼网站或假客服，连在公共网络中，用户访问时会泄露个人银行卡信息。此类伪基站一般为流动式。

第二种伪基站下发的诈骗短信中的网址或客服电话与真实网址、号码相同，后台钓鱼网站或假客服连在伪基站上。此类伪基站一般为固定式。

第三种采用改号软件仿冒真实客服号码下发诈骗短信，短信中的网址或客服电话与真实网址、号码不同，其后台是钓鱼网站或假客服，连在公共网络中，骗取用户个人银行卡信息。

第四种诈骗方式，伪基站采用改号软件仿冒真实客服号码下发诈骗短信，短信中的网址或客服电话与真实网址、号码也相同，后台钓鱼网站或假客服连在伪基站上。用户访问真实地址时，通过流量劫持将用户劫持到其伪造后台，骗取用户个人银行卡信息。

第五种诈骗方式，在用户作真实交易或者操作后，伪基站仿冒真实客服号码下发确认信息，骗取客户信任，然后通过电话聊天软件等方式诱骗用户进行操作或者套取验证码。犯罪分子获取银行卡信息后在电商、网银等渠道发起欺诈交易，造成持卡人损失。

二、伪基站识别方法研究

针对以上问题，我们根据现有技术手段，结合中国银联实际情况，整理了以下几种应对方法。

1、基于伪基站行为特征的识别

手机内置App，预置伪基站的特征数据，手机接入基站时，通过判断基站状态和行为数据进行真伪基站的识别。

早期的伪基站具有如下特征：与正常基站C1C2值差异显著；手机接入时间较短，会造成大量手机位置更新；没有话音业务，并且存在大量相同长度短信业务；基站LAI通常设置为边界数值等。因此，手机App可通过读取基站的C1C2值、统计手机位置更新频度、监测分析基站的独立专用信道（SDCCH）信息、监测基站LAI值等方法来识别伪基站。

该方法需要依赖以下外部条件：

√ 使用运营商基站特征信息。

该方法可能存在以下问题：

√ 由于基站信息的易伪造性致使该方法存在识别率不高的问题；

√ 随着伪基站技术的发展，其行为特征将越来越接近真实基站，使得识别难度越来越大。

2、通过建立伪基站数据库判决伪基站

使用开发手机App，采集、上报基站信息，后台系统基于运营商基站信息完成伪基站识别；App事先获取本地区伪基站信息，并基于此对接入的基站进行真伪识别。

用户手机终端接入伪基站时，手机不对当前基站进行认证，因此无法识别当前基站的真伪，但是手机App可记录当前基站的基本信息，后续通过数据网络将记录的基站信息发送至运营商后台系统进行比对，从而判断真伪，同时运营商后台系统将该伪基站的信息进行标记；手机App可预先通过数据网络获取本地区内的伪基站信息，在接入基站时，可实时进行真伪识别并提醒用户。

该方法需要以依赖下外部条件：

√ 必须依赖运营商基站信息数据进行比对，完成伪基站识别，如果拿不到运营商数据则实现难度较大，而运营商暂时没有提供服务接口，如需整合需要和运营商进行进一步沟通。

该方法可能存在以下问题：

√ 对于第一次出现的伪基站，手机App无法识别，只有移出伪基站覆盖范围并连接运营商网络后，才能将基站信息上报。因此只能做到事后告警，并不能及时提示用户，及时避免用户的财产损失。

√ 基站参数可人为设置，造成识别困难，致使伪基站识别率不高。

√ 伪基站多是流动性作案，没有固定区域，如果将所有伪基站信息都下发到用户手机，会造成资源占用过多等问题。

3、运营商综合分析判断后通知用户

运营商基于其现有数据，利用大量用户位置、移动轨迹、交往圈、通信特征等数据建模，构建伪基站管理系统，实现对伪基站诈骗的跟踪监控。目前运营商已经完成伪基站识别原型系统并在部分地区试点应用。

利用运营商提供的伪基站识别服务，可以查询特定银联用户是否接入过伪基站。

该方法需要依赖以下外部条件：

√ 需要运营商提供该服务：由于成本问题，目前该服务运营商当前主要集中在重点区域、重点时段，尚未全面铺开。

√ 需要运营商提供用户信息：由于隐私保护问题，当前运营商不直接提供用户手机号等信息，只能通过手机号查询是否接入过伪基站。

√ 需要运营商提供定制接口：当前中国移动尚未对外直接开放开发接口。

上述服务、数据、接口等都需要和运营商进行沟通协商。

该方法可能存在以下问题：

√ 对已经被吸纳到伪基站的终端，无法使用公网提供的服务，因此无法接收到运营商发出的假基站告警。因此只能做到事后告警，并不能及时提示用户，及时避免用户的财产损失。

三、加强支付应用安全性间接防御

1、通过设备指纹认证等对支付终端的认证手段防御

指纹，即我们常说的指纹，比如手指的纹理，每个人的指纹都是唯一的，所以我们可以用指纹识别器记录用户指纹来唯一判别和认证一个用户。在网络安全领域也会有一些“指纹”的说法，比如，操作系统指纹，网络设备指纹等等。“唯一性”和“稳定性”奠定了指纹识别作为一种新型且可靠的追踪方式的基础。通过设备指纹的使用，可以对用户使用的终端进行判别，不法分子即使通过欺诈手段获取了用户信息，也无法完成交易欺诈。

2、通过用户行为分析的身份认证手段防御

用户在企业应用中的行为，如活动时间、活动地域、常用页面等往往具有规律性。同时随着智能设备的不断发展，现在的智能手机已经拥有精密的传感器，能够精确识别人的行为特征。不同人在做相同的动作（例如举手）时，传感器能够获取他们的动作幅度、速度、手的位置等特征。如果我们使用这些信息制造出属于该用户的数据集合，当新的动作数据与原数据集差异较大时，则可认为并不是原用户，实现身份认证的目的。我们把这种认证方式称为基于用户行为分析的身份认证。基于用户行为分析的身份认证是一种持续的认证方式。同时由于个人动作特征很难模仿，它也可以有效防止各种诈骗或者窃取。

声明：本文来自电子商务电子支付国家工程实验室，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。