跨年夜，我似乎被黑产盯上了，手机号险些沦陷。

[InDom]

昨晚发生的事，被我及时发现解除了，后续也没其他动作，本以为就这样过去了，可今早它却再次试探我的手机，不得不说一下了。

突然被设置呼叫转移

昨晚 18:20 分左右，正盯着公司群抢红包时，突然收到 10086 的短信 “已成功开通呼叫转移业务”，很是疑惑但第一时间查看手机设置，确实被呼叫转移到一个陌生号码上，第一时间取消呼叫转移，然后在琢磨是怎么回事的时候，手机陆续收到几个平台登陆的短信验证码，随后收到各平台语音验证码的电话。

这时发现事情不对，立即致电 10086 人工客服，要求取消所有呼转，并询问是否可以禁止手机被设置呼叫转移，经过一番咨询，客服说设置呼叫转移一定是本人，并且要验证服务密码才行，看客服无法解决问题，要求升级坐席，对方不给升，并建议报警。（期间对方似乎发现无法接到电话，回拨我号码试探，在回拨回去就已关机）

随后尝试修改服务密码，多次人脸识别不通过未能成功。

无效的报警记录

报警后，警察回电咨询情况，了解后，问我有什么诉求，希望怎么处理...
我说首先我不知道什么情况，我现在害怕我的银行资金被转移，并询问是否有过类似案件，我好有个参考解决方案，对方答：“一年内就见过一例，也只是被设置呼叫转移，什么事都没发生。”
随后提供被呼叫转移到的手机号码，问能否有帮助，对方答：我们肯定不能提供对方信息给你...
发现报警没用后，就不打算浪费时间了，草草结束通话。

10086 回电

10086 客服回电话给我，说还有一种情况可能设置呼叫转移，其他移动客户拨打 10086 并验证服务密码后可以设置呼叫转移，再次建议我修改密码，我说人脸识别过不去，索要停机保号流程（以防万一，直接停机），并获取附近可以办理异地补卡等业务的营业厅地址备用。

通知父母

挂断电话，第一时间“视频电话”给我妈，说明情况，表示我现在好得很，最近两天如果我失联可以微信找我（微信绑定 Voice ），并且任何人说我出事了之类的情况，都不要信（曾经多次科普各种常见诈骗手段），务必和我联系。

转移资金

说来也奇怪，这个时候，我相信的居然不是银行，第一时间把所有银行卡的钱都转到了支付宝... 我现在也没想明白，支付宝是如何给我的安全感（日常真的不用司马龙的支付）

一夜无事

紧张兮兮的跨了年，手机一直在手里，准备随时处理各种情况，结果一整夜过去了，什么事也没发生，本以为这事就过去了，结果今早这个号码又给我回拨电话了，再次给我敲响警钟。

总结

一、对方很会选择时间，18:20 分，这个时间正好是我下班回家的路上，骑车肯定不方便看手机，早一会晚一会，我看手机都会很及时，可巧就巧在我今晚为了不错过公司的红包，特意在公司逗留了很久。
二、跨年夜，很多人都应该忙着赶路回家吧，我本来买了高铁票也打算回去的，前一天临时决定不回去了。

所以，似乎我的运气很好，能够在不应该方便的时间里第一时间发现问题并消除对方的设置。

并且会想起前两年的一个新闻，好像也是跨年夜下班在地铁上的时候，手机突然没信号，发现手机卡被补办，银行资产被转移了。

放在这里，一方面给大家提个醒，有类似的攻击手法，其次也是寻求大家的帮助，有没有了解类似情况的。

最后，手机不止可以设置通话呼叫转移，我印象中曾经出现过短信呼转，就是开通以后，短信就不发给你了，转发给另一个号码。所以还好对方没用这个方案，不然我也凉了。

[semglassiebaba]

短信是无法呼转的，以前好像有类似功能，后来都取消了，自己改密码不就好了，人脸识别无法通过是什么鬼

[hahaayaoyaoyao]

有内鬼

[Privileges]

修改服务密码，好像只需要知道身份证后几位做验证就行了吧。

[0gys]

全换成现金得了。看你的好怕怕😱。

[0gys]

你这个打码好像可以看出来^_^

[liyang5945]

今早怎么试探的？

[su0818]

吓人啊，这个操作要是在凌晨以后……

[dlsflh]

换成 USDT 好啦。

[eason1874]

“其他移动客户拨打 10086 并验证服务密码后可以设置呼叫转移”

真的假的，那么多人是默认密码

[napsterwu]

*#21#的一系列指令可以查看或者设置呼叫转移，可以在网上搜一下

[iceheart]

手机中木马了吧

[InDom]

@semglassiebaba @Privileges 现在新上线的，修改服务密码需要手机号，身份证，人脸识别三项。

@0gys 看破不说破，🐶

@liyang5945 给我打电话，看我在不在线。

@su0818 目前来看，应该不用可能，我怀疑对方是通过 10086 电话客服，凌晨不上班。不过不得不对此提出担心。

@eason1874 这个是 10086 特意回拨告知的，然后还查了一下对方是否是移动用户。

[InDom]

@napsterwu 这些代码都还是比较清楚的，感谢分享。


@iceheart iPhone 未越狱，平时也不会乱装东西，基本可以排除这种可能，起码我不配被利用这种高级别的漏洞。

[mohulai]

我原来以为，只能本机设置呼叫转移。
漏洞这么多，你可以试试把呼叫转移设置到一个你信任的手机号上，也许能阻止被黑产更改呼叫转移

[susie86]

你有没有想过是卡被复制了。最好重新补卡

[miyuki]

楼主冷静、思路清晰👍

[Bastionbee]

不知道为什么 我也感觉支付宝比银行安全一些😂

[wangfeng3769]

卡复制了，就更恐怖了

[lqcc]

楼主弄明白对方到底怎么设置转移的没？

[crab]

@0gys 买个不能快速提现的理财。

[yaoyao1128]

@mohulai 呼叫转移的一个设置场景是丢了手机 /坏了手机之后临时通过设置呼叫转移接电话（所以这个功能一直有并且还不能取消） 至于客服说只能本人……个人觉得是客服业务知识不到位

@eason1874 新用户默认密码现在大部分不是身份证号码就是随机的 看省份

@InDom 改密码的话各个省份不太一样 有一部分直接用手机发短信到 10086 就行 可以试一下发 修改密码 或者 XGMM 需要验证身份的场景一般是重置密码

[Silently]

@mohulai 你这个抢先设置呼叫转移这个没有用的、能够覆盖之前设置的

[mohulai]

最简单的办法 就是弄个新手机号，办一张心银行卡绑定新手机号，所有钱都先转新卡里。剩下的事就不用急着查了

[Silently]

发现未知的呼叫转移设置短信或者其他验证码、应该第一时间打人工停机 改服务密码 然后去附近营业厅补卡

[Zeonjl]

嗯，这个只能靠自己了！广告不可信

[Youkochan0v0]

楼主给可疑手机号的打码方式让我好奇去查了一下这个号码，可惜一无所获

[anonydmer]

所以到底短信能被呼叫转移么?

[alexkkaa]

整这些都没用 银行内部本来就是到处都是漏洞。 现在的人都以方便为由办卡时就不要 u 盾密码卡之类的物理介质，出了事就开始怪银行。 其他行业的人还说的过去，但是软件从业人员也是这样。 最有用的就是限额+物理验证。 币圈还有卖 u 盘密保的 怎么银行的这些 u 盾那么多人不要 实在是反智。

[ghjexxka]

这种行窃方式看着挺吓人

[ggmood]

抖音有个视频就说这个事情的，后果很严重

[uni]

你这个码打得太精彩了哈哈哈哈

[hw028]

@alexkkaa 周五去了一下银行，原本是要办理 u 盾的，银行柜员表示不需要的，让我找大堂经理，直接帮忙在手机客户端改了额度，😭。

[alexkkaa]

@hw028 银行的安全措施是一塌糊涂。 各个银行都有自己的一套，漏洞百出。 现在流行的什么指纹了 刷脸了 手机验证码 都是安全级别很低的措施。 以前的那些物理介质才是最安全的。即便如此 还有些 bug 级的漏洞 比如 pos 这玩意是不限额的 而且很多银行根本就对 pos 设不了限额 也不需要验证码什么的 拿着卡知道密码一个亿所 7 可以刷出来

[wtdd]

只发生了一次的话，真的完全不怀疑是误操作导致的么？

[christin]

站里之前发过一个类似的案例，当时的楼主和对方拉扯了一夜。对方一直在改，就改了一晚上。

[wevsty]

@alexkkaa
现在银行一般情况下是不给 U 盾这种东西了，原因是断卡行动。
银行的安全措施本身是比大部分 app 要做得好的，认为银行不安全是一种错觉。
指纹，手势密码一类的只是为了方便用户在常用机器上的快速登陆，换设备就没法用了，而且用户可以选择不要启用。
手机验证码是不够安全的，我是支持 U 盾一类安全措施的，只不过大众不能接受。
至于 POS 机盗刷是没必要担心的，现在的芯片卡本身也没办法复制，卡片本身就是一个很好的物理介质了，所以卡片+密码的安全性是没有问题的。

回到主题：
楼主遇到的问题主要是运营商的问题，建议是去运营商处理一下，手机卡什么的补一下，预留信息更新一下，服务密码改一改。

楼主要害怕其实可以直接所有钱转到一个银行，然后直接电话银行客服挂失或者冻结，这样不到银行柜台谁也动不了这些钱了（手动狗头）。
不过运营商的根本问题没解决还是有风险的，毕竟还可以尝试给你借网贷一类的操作，所以还是尽早去运营商营业厅处理。

[RobinHu]

期待楼主有后续

[Xusually]

有些网站支持多种验证码，短信验证码收不到的话，可以接听语音电话播报验证码，甚至我记得支付宝就可以？

短信现在不能做转移了，用呼叫转移来曲线实现语音验证码窃取这思路可以的。

[ChangeTheWorld]

不会是最近的 Log4shell 打到了移动的 HLR 周边的系统，拿到了某些用户的 Ki/OPc 可以直接制卡，这样就能解释的通为什么手机卡还有服务却能不断被设置呼叫转移

[israinbow]

惊吓感染了, 连忙给活期卡设置了限额.

[ChangeTheWorld]

强烈建议楼主赶快去补办 USIM 卡，这样 Ki/OPc 会变化

[leafre]

道高一尺魔高一丈，吓得我赶紧修改了服务密码

[idragonet]

建议换 SIM 卡......

[qhx1018]

各种网站的验证码 应该是短信轰炸 试探 那可能是真人在搞你

[huntagain2008]

我还自己用了微信小程序设置了呼叫转移只为了小秘书代接电话。看这贴子有点害怕自己主动设置的呼叫转移被别人拿去做黑产。可怕。

[piku]

呼叫转移作为一项业务可以取消（退订）。但既然对方掌握了你的脸和你的密码，业务再开也是分分钟的事。
楼上说的补卡觉得没用，但营业厅补卡会触发人脸识别，可能能够纠正系统中的人脸识别信息。
觉得银行卡换绑手机号（甚至换运营商）比较靠谱，就是操作起来比较复杂，耗时较长。
考虑到目前只有移动还支持 2G 。建议关闭手机的 2G 功能（强制 4G ），或尽量更改绑定号码到其他运营商。
顺便吐槽一下绑定了 gv 的 wx 被封号而且解封操作循环（找人辅助-成功-辅助微信不符合要求）

[Maskeney]

楼主怕不是连自己手机卡的服务密码是什么都不知道，所以才需要走重置流程，人脸不过的话说不定机主根本不是你，甚至当初办卡的时候就不是从正规渠道办的，不知道楼主为什么没有想到这些。至于呼叫转移除了本机上设置也确实可以通过运营商用服务密码验证设置的，看楼主描述卡一直在自己手里并且正常使用应该就是如此了，或者还有一种可能就是楼主装了什么软件，这个软件定时运行了 USSD 代码发起了呼转设置

[Greatshu]

我有 4 个号码，A 只用于银行，在线支付，仅自己知道，B 用于和家人朋友联系和绑定社交软件，保证只有少数人知道，C 用于工作，换工作时可以选择换号，D 用来收快递和注册其他乱七八槽的网站。
这么只要保证 AB 不被盯上即可，缺点是要带两部手机(AB ，CD 各一部)，而且要定期充电。实际体验 AB 手机一周一充，还是比较省心。当然如果是运营商被打那上面权当废话。

[qinwangzeng]

小学生一样大惊小怪的，怎么不直接去营业厅问一下

[efaun]

办理呼叫转移会发短信的, 我只知道在线下营业厅会这样, 线上或者手机设置都不会发短信, 所以大概率是灰产结合了营业厅的内鬼

你可以问下你呼叫转移的业务是在哪办理的

[mscsky]

这些敏感操作联通都是要验证短信的，移动不要二次验证？

[iSteven]

好像之前在 v 站看到个相似的经历，那哥们更惨，他媳妇的手机丢了，而且还是在晚上，营业厅已经下班了，他只能人工客服通过身份证之类的信息将手机号设置为挂失状态，但窃贼那边也可以通过本机号码和身份证号来解除挂失，那哥们只能一晚上间隔一会就打电话，一打通就打人工客服挂失，一晚上都是这些操作，中国电信也是狗，明显的挂失异常，居然可以不断挂失和解除挂失（就是看了那个帖子之后，我做了两件事，一个是给 SIM 卡设置 PIN 码，第二是把所有的绑定都转移到移动卡。）。而且那哥们还得检查窃贼那边到底要做什么操作，反正整篇文章看下来，如果换作是我，肯定做不来那些操作。
现在一个手机号绑定的东西太多了，通过一个手机号甚至能查到身份证信息，甚至连身份证正反面照片都能查到，gov 的多数平台的安全指数低得可怜，储存的又是个人隐私信息，但保护隐私却做得一塌糊涂（这让我想起了之前有一个地方 gov 项目明文传输用户身份证号）。
呼叫转移这种明显有安全隐患的功能，为什么不提供永久关闭的选项呢，一旦永久关闭后如果要重新开通就得本人拿着身份证去营业厅重新开通，这样不就能大大降低安全隐患了吗，实在不明白为什么不这样做。

https://www.v2ex.com/t/705720?p=2
https://www.sohu.com/a/423296000_758240?spm=smpc.home.top-news5.6.1602290378713WOcgU8Q

[ziseyinzi]

不怕贼偷，就怕贼惦记。我比较在意的是，这种行为似乎是有针对性的。它并非像传统电信犯罪那样：广撒网，一个人不行就换另一个人。楼主这个案例，包括楼上提到的其它案例，对方都是锲而不舍地针对一个人反复操作。我能想到的解释有两种：1.这种操作需要某种稀缺资源才能实现，因此无法广撒网，比如或许需要复制 sim 卡;2.这种操作是熟人出于报复、窃密等原因做出来的，只针对自己的目标，因此抓住机会就不会放手。

[whoisix]

@iSteven 看完了，太可怕了

[easylee]

你转钱到支付宝的操作是没问题的，没记错默认开通账户险，理赔很快，并且实际上的追回也很快。

如果是银行被黑产盗的款项，报警怕是几个月都追不回来。

[hanliu]

@qinwangzeng 六点多营业厅早已关门吧

[Heyawadu]

可怕

[mandymak]

@InDom 电信的话要开通呼叫转移功能需要机主本人亲身去营业厅办理并罚抄。

[revalue]

之前有个同事。说不断收到 app 注册的短信，还是墙外的那些聊天交友 app 。

然后感到疑惑下载部分 app ，用手机验证码登录了。上面就是骗子利用他手机号注册了账号，而且 app 上最近还有骗子的活动记录 假图、假人设什么的。

所以说黑产获取一个账号的使用权真的成本很低啊。

[Archeb]

如果是我，我也会立刻全部转到支付宝然后再反手买理财 /挂失

银行给我的感觉就是，内鬼太多，有的人权限太大，内部审计不严，风控也差。

[WeiYuanStudio]

参考[在 iPhone 上设置呼叫转移和呼叫等待 - Apple 支持 (中国)]( https://support.apple.com/zh-cn/guide/iphone/iphe9bdd027a/ios)

[呼叫转移：开启呼叫转移后，“呼叫转移”图标 将显示在状态栏中。当您将 iPhone 设定为呼叫转移后，必须位于蜂窝网络覆盖范围内，否则呼叫将不会转移。]

会不会晚上睡前开启飞行模式就无法转移了呢？不过最好先自己测试一下，以免翻车

[ryh]

@WeiYuanStudio 别逗，呼叫转移是电信端后台功能，你关机一样会被呼转。

[InDom]

@lqcc 由于我不再归属地，而这种查询必须是本人在归属地营业厅才有可能查得到（也有可能没有记录），所以暂时不能得知具体方法，但估计有可能是通过 10086 人工客服设置的。

@susie86 @wangfeng3769 从来没想过手机卡有可能被复制这种可能，而且如果被复制也没必要这样搞了吧？我猜的。
当然，我不是很相信手机卡能被复制，最多是被补卡才对。

@yaoyao1128 谢谢，已经在营业厅修改完毕了。

@mohulai 属于理论最佳解，但实际上根本不可能执行，别说换手机号了，修改历史弱密码账号就是个很大的工程量，有几个能真正做得到的。

@ggmood 方便分享一下么？我去了解下情况，谢谢。

@wtdd @qhx1018 目的明确，设置呼叫转移，随后直接登陆各平台账号，并获取语音验证码，怎么看都不像巧合能做到的，我觉得对方目的很明确，而且对我的一些信息比较了解。

@christin 我这个似乎没有其他操作了，起码到目前为止我没有发现异常情况。

@wevsty 谢谢，已经去过营业厅了，只是修改了服务密码，目前来看没有更好的解决方案，补卡估计也用处不大，至于银行卡信息，我目前相信支付宝，如果还不放心，就只能转到其他手机号的支付宝上面去了。

@ChangeTheWorld 谢谢，我考虑下重新补张卡。

@piku 同吐槽，试了两天才发现 gv 号不行，被迫切回国。。。

@Maskeney #47 这个是真的知道，只是密码十多年前设置的，当时还属于强密码，只是这么多年过去了，已经经历了强密码-弱密码-强密码 这一整个流程了（不同时期这个密码对应的数据出现频率），手机卡也在十多年前就改成自己的实名信息了，服务密码没有修改，只能重置似乎。iPhone 13 未越狱 最新系统，我觉得有这种软件的可能性不大。

@Greatshu 虽然我有五个号码，确实双持（ 4 卡待机），但是真的没想过你这么搞，还是一张主力卡，两张流量卡，一张备用卡。

@ziseyinzi 同怀疑是熟人作案，但自认为人缘不错，应该没得罪过什么人，包括警察和 10086 客服都问过，我实在是想不出有什么人，而且能猜到我服务密码的，肯定不是最近几年认识的。

@WeiYuanStudio 你这个不是，呼叫转移后，关机也可能正常转移的。

[ggmood]

@InDom #63 4.10 lPX:/ [听了这段音频 只想说警察叔叔真棒！] 12 月 7 日，北京白女士接到诈骗电话，同一时间，昌平分局反诈中心收到预警，劝阻员立即拨打白女士电话，但白女士电话已被呼叫转移。过程中劝阻员察觉到不对，在与运营商联系后，最终联系到机主，及时阻止这次诈骗。 https://v.douyin.com/8fVQLrv/ 复制此鏈接，打幵 Dou 音搜索，直接观看视頻！

[InDom]

@ggmood 谢谢，看了一下，这个似乎是主动操作的，属于诈骗类了。

[Mavious]

我想说楼主的码太弱了，那个 195 后面几位完全看得清

[dot]

@Mavious 故意暴露骗子号码的……

[SenLief]

@alexkkaa 现在银行不愿意给个人办理 U 盾，上次去办理 U 盾还需要流水也就奇葩了。另外就是移动支付也限制了 U 盾，只能说便利和安全的权衡吧。

[SenLief]

@Greatshu 你这个如果其实可以选择小号就可以了，没必要带多部手机。

[YaakovZiv]

跨城市作案的还能直接报警，本市作案，还碰巧在济南的，可能就维权难度增加了

[chenmobuys]

有点恐怖，有的验证码是打电话通知的

[JoeoooLAI]

确实挺可怕