電信常識 2013-11-10

取消”小額付費”與”簡訊轉接”, 杜絕裝熟訊息詐騙

最近頻傳有不肖份子利用各電信業者小額付費的漏洞來詐騙, 藉由智慧型手機的Line或臉書接獲訊息，歹徒會裝熟標註被害人姓名，訊息顯示「看著這些照片，好懷念以前的日子！」等字眼, 誘導受害人點了具有惡意程式的網址並利用各電信業者小額付費的漏洞來詐騙。警政署統計，八月開始出現LINE詐騙手法，八月時只有十二人被騙，十月被害人暴增至四百四十六人，十一月的第一周有一百五十一人上當；被騙金額一百元到三萬元不等，三個月有六百七十四人被騙了一百七十七萬元。

刑事警察局最近也陸續接獲民眾檢舉，收到「取消網上電費支付」、「快遞簽收單」詐騙簡訊，誘騙使用者點入查詢網址，遭到歹徒盜用電信帳單小額付款。

根據趨勢科技與聯合報的資料, 目前常見的裝熟訊息詐騙內容如下, 且不斷在更新:

當受害者以手機瀏覽器開啟連結時，惡意程式便會啟動，這些歹徒就可以利用各電信業者小額付費的漏洞. 用被害者名義購買網路遊戲點數，讓被害者的手機費用可就憑空增加1千～5千元。通常受害人都是點選後1小時後收到電信公司小額付款通知簡訊或帳單後，才驚覺被詐騙。

目前使用iOS系統除非越獄, 不然目前暫時沒有中招的問題. 目前的苦主大都使用Android手機, 點選惡意圖片時, 若用戶同意使用”未知來源 “下載(未經Google Play下載), 就會中招被詐騙.

PS:以上圖片, 取自趨勢科技網站

這種裝熟訊息詐騙手法, 主要利用電信業者”小額付費”與”簡訊轉接”的漏洞來詐騙. 以下針對電信業者的“小額付費”與”簡訊轉接”機制做說明:

1. 何謂小額付費機制與漏洞:

行動電話業者提供的行動商務小額付款平台, 乃透過消費者的行動電話之個人化及安全機制(行動電話號碼、身份證字號及一組密碼)作為身份認證，提供小額付款機制，憑以購買遊戲業者數位內容商品，並於行動網路上消費後併同下個月的電信帳單中支付的一項機制. 小額付費適用於正常繳費的月租型用戶, 不含預付卡及非以個人名義租用者. 免月租費, 免月租,門號開通即可使用，不必事先申請. 中華與遠傳第一次使用時, 必須先加成為會員, 取得專屬密碼之簡訊.

小額付費機制的漏洞, 主要在於小額付費免申請, 門號開通即可使用. 所謂安全機制只要行動電話號碼 、身份證字號及一組密碼即可, 前兩者歹徒要拿到資料並不難, 後者密碼則靠簡訊轉接、網路釣魚或使用被植入木馬程式的電腦被盜.

由於簡訊詐騙頻繁, 各電信業者已經根據NCC規定,將小額付款功能改設定為關閉.並且推出雙向簡訊確認功能，當用戶上網消費，要啟動小額付款時，會先收到系統寄出的簡訊，確認該筆消費來自自己的手機門號，當用戶回傳簡訊後，才能啟動小額付費，完成交易

2. 各電信業者小額付費機制額度與官網連結:

A.中華電信:

B.遠傳電信:

啟用小額付費服務帳號之用戶，於小額付費帳號開通半年以內單月交易額度上限為1,000元。開通半年後單月交易額度上限將提高至3,000元。服務滿一年之用戶，依據用戶之消費狀況彈性調整使用額度，將每月最高消費額度由3000元調整至10000元，並於次月帳單訊息中通知用戶.若

C.台灣大哥大:
未至台哥大申請小額付費服務，其可用額度調整為600元, 若需要開啟小額付款服務，需台哥大門號登記者本人利用手機直撥188按9 去電至台哥大客服中心進行身分驗證與調整額度，最高可調整至三千元整。

D.亞太電信 :

每一門號使用額度依據用戶的使用紀錄及繳納狀況，會給予不同的額度上限為NT2,000元~NT5,000元(依照用戶的行動電話計費週期計算)

E.威寶電信:

預設每位用戶每月最高可消費金額為新台幣 1,000 元，單月小額付款交易額度上限最高可調整為新台幣2,000元。

3. 何謂簡訊轉接與漏洞:

「簡訊轉接」服務主要是中華電信提供的加值服務, 主要是為了忘了帶行動電話，或是臨時手機沒電、不慎遺失的情況下，擔心因此未能即時接收及處理個人重要簡訊，所申請的「簡訊轉接」服務. 當完成個人簡訊轉發至指定的接收裝置後，不論手機已關機或是正常收訊的情況下，當別人傳送簡訊至你的行動電話門號後，系統就會再傳送至指定的行動電話門號或電子郵件信箱。

因認證簡訊被歹徒轉接攔截, 受害者通常得收到帳單後才會驚覺受騙. 中華電信簡訊轉服務的漏洞, 也是導致中華電信用戶容易受害的原因之一.

中華電信表示，自9月底就接獲客戶反映疑因帳號密碼遭盜用，並申請簡訊轉接功能趁機盜用小額付款，應是有心人士刻意盜用會員帳號密碼，進行簡訊轉接設定，中華電信已停止該項服務。若因此遭盜帳號密碼而受害的客戶, 中華電信請受害用戶向警方報案.只要有報案，被詐騙的金額中華電信就暫時不會列入帳單中。

4. 如何避免被裝熟簡訊詐騙與自保之道:

A. 避免點選來路不明的超連結與下載來源不明的應用程式，並建議從可信任的軟體商店下載

B.若已點選來路不明超連結及下載不明的程式，請盡速將手機恢復成原廠設定

C.主動致電電信業者客服, 取消小額付費服務:

中華電信：800; 台灣大哥大：188; 遠傳電信：888; 亞太電信: 999, 威寶: 123.
特別提醒, 取消小額付費服務, 會取消同一業者名下所有門號, 無法個別取消.

D.不要啟動LINE的「公開ID」功能

啟動「公開ID」功能，就代表開放所有人都能搜尋到自己，就有可能被詐騙集團「亂槍打鳥」挑中。另外, 也可限制手機通訊錄自動加入好友，不要授權LINE遊戲讀取自己與好友的個人資料，避免在公用電腦登入電腦版LINE，若沒有使用電腦版LINE，要記得關閉「允許其他裝置登入」功能, 都是可以避免LINE帳號被盜的妙方。若Line帳號不幸被盜, 解毒法詳見這裡.

E.個人帳號與密碼保護之道：

a.請避免與他人共用電腦，或於公用電腦(如網咖、校園)輸入個人密碼或資料。

b.請避免設定容易被破解的密碼，如生日、電話、身分證字號等，並經常更換密碼。

c.輸入資料時請勿選用記憶密碼之功能，並注意身旁是否有人窺視，不要將密碼告知任何人、或將資料留於容易被他人取得之處，如紙張、電子郵件、MSN、Skype等。

d.離開座位或交易完畢請養成立即登出的習慣

e. 不要被網路通訊軟體裝熟朋友代收認證簡訊

f.隨時察看簡訊，一發現詐騙即向電信公司取消交易

g. 安裝防毒軟體.

E. 若已被盜, 自保權益之道:

若已被盜, 請務必報警, 才可當作是被詐騙證明，要求電信業者不能列入帳單或是可到臨櫃辦簽結退款。

Note:

最近Facebook有不少收到類似以下聲稱來自臉書安全中心發的訊息,內文還帶著“12 小時內不驗證帳號,將被永久停權”的恐嚇字眼。