遇见那些劫持Instagram账号和加密货币的黑客——他们在阴暗热闹的地下市场上买卖被盗的账号和用户名。他们瞄准的弱点是什么？正是受害者的手机号码。
SIM卡劫持是一种鲜为人知但日益严重的威胁。想了解如何防止黑客窃取您的手机号码，请阅读我们的指南，学习如何保护自己免受此类攻击。
那像是九月里犹州盐湖城郊外一个再寻常不过的炎热夜晚。 Rachel Ostlund刚哄孩子们睡下，正准备自己也休息。 她正给姐姐发短信，手机却毫无预兆地失去了信号。 她收到的最后一条消息来自其运营商T-Mobile，通知她这个手机号码的SIM卡已被“更新”。
Rachel像大多数人在这种情况下会做的那样，关机后又重新开机。但这并没有起到任何作用。
她上楼告诉丈夫Adam，她的手机用不了了。 Adam用自己的手机拨打Rachel的号码。 电话接通了响铃，但Rachel手中的手机并没有亮起来。 没有人接听。 与此同时，Rachel登录了自己的电子邮箱，发现有人正在重置她多个账号的密码。 一小时后，Adam接到了一通电话。
“让Rachel接电话。”电话那头传来一个声音，“现在。”
Adam拒绝了，并询问发生了什么事。
“我们要干你，要强奸你，还要毁掉你的生活，”来电者说道。 “如果你知道什么对你好，就让你老婆接电话。”
Adam拒绝了。
“我们要毁掉你的信用，”对方接着说道，并说出了Rachel和Adam家人的名字及其住址。夫妇俩认为这些信息是从Rachel的亚马逊账户中获取的。 “如果我们伤害他们会怎样？如果我们毁掉他们的信用，然后给他们留言说这都是你的错呢？”
“我们要干你，要强奸你，还要毁掉你的生活。”
这对夫妇当时还不知道，他们刚刚成为一群黑客的最新受害者。这些黑客通过劫持手机号码，窃取珍贵的Instagram用户名，并将其换成比特币出售。 2017年这个夏末的夜晚，Ostlund夫妇正在与两名黑客通话，这两人刚刚控制了Rachel的Instagram账号，其用户名为@Rainbow。 他们现在要求Rachel和Adam放弃她的Twitter账号@Rainbow。
在当下正流行的被盗社交媒体及游戏用户名地下市场上，一个独特而简短的用户名可以卖到500至5000美元，这是根据交易参与者的说法以及对一个热门市场上挂牌信息的查看得出的。 多名参与该市场的黑客称，例如Instagram账号@t最近以约40000美元的比特币成交。
您的手机或Instagram是否被黑了？ 请讲述您的经历。您可以通过Signal（+1 917 257 1382）、OTR聊天（[email protected]）或电子邮件（[email protected]）安全地联系这位记者。
黑客劫持了Rachel的手机号码后，不仅夺取了她的Instagram账号，还控制了她的亚马逊、eBay、PayPal、Netflix和Hulu账号。 Rachel为保护其中部分账号所采取的各项安全措施，包括双重身份验证在内，一旦黑客控制了她的手机号码，便都失去了作用。
“那是一个非常紧张的夜晚,”亚当回忆道。 “我简直不敢相信,他们居然有脸给我们打电话。”
图片：SHUTTERSTOCK
一项悄然逼近的威胁
今年2月， T-Mobile群发短信 ，警告客户注意一种«行业性»威胁。 该公司表示，犯罪分子越来越多地利用一种名为«端口盗取诈骗»的手段，锁定并窃取人们的电话号码。 这种骗局也被称为 SIM卡置换或劫持 ，手法简单，却极为有效。
首先，犯罪分子冒充目标本人，致电移动运营商的技术支持热线。 他们向公司员工解释说自己«丢失»了SIM卡，并要求将其电话号码转移到一张由骗子自己持有的新SIM卡上。 再辅以一些社会工程学手段——比如提供受害者的社会安全号码，或其住址（这类信息往往能在过去几年的多起数据泄露事件中获得）——犯罪分子便能说服员工相信他们的身份，从而将电话号码转移到新的SIM卡上。
游戏结束。
«只要拿到某人的手机号码，”一位执行SIM卡置换的黑客向我解释道，«你就能在几分钟内进入他们名下的每一个账户，而他们对此束手无策。»
罗拉·奥斯特伦德（RACHEL OSTLUND）收到的短信截图，当时她的电话号码被黑客夺走。
从那一刻起，受害者便失去了通信服务，因为同一个号码在同一时间只能绑定到移动网络中的一张SIM卡上。 而且，黑客可以重置受害者的账户，并常常借助电话号码作为找回方式，绕过双重验证等安全措施。
包括 Instagram 在内的部分服务要求用户在设置双重验证时提供手机号码，这一规定却意外地为黑客提供了另一条入侵账户的途径。 事实上，只要黑客控制了目标的号码，便可以绕过双重验证，甚至无需知道账户密码就能登入其Instagram账户。 （ 请参阅我们的指南，了解如何保护您的电话号码及其关联账户免受黑客入侵 。）
黑客Eric Taylor，此前以CosmoTheGod之名为人所知 ，在他的多起著名入侵行动中运用了这一手段，例如2012年他 入侵了CloudFlare首席执行官的邮箱账户 。如今，Taylor供职于安全公司 Path Network 。他告诉我，只要你的某个线上账户绑定了手机号码，你就«容易受到13至16岁少年的攻击——他们只需在你打完该死的运营商客服电话后不到五分钟，拿走你的手机，便能接管你的账户。»
«这种事经常发生，»他补充道。
你有爆料线索吗？ 你可以通过Signal（+1 917 257 1382）安全地联系本文作者，或通过OTR聊天（[email protected]）、电子邮件（[email protected]）与其取得联系。
Roel Schouwenberg是Celsus Advisory Group的情报与研究总监，他曾研究SIM卡置换、绕过双重验证以及滥用账户找回机制等问题。在他看来，没有哪个电话号码是绝对安全的，消费者必须对此有所认识。
«任何号码都可能被转移，»Schouwenberg对我说。 «一个执着且资源充足的犯罪分子，至少能获得对某个号码的临时访问权限，而这往往足以完成一次抢劫。»
这令人不安，因为手机号码已经成为我们整个网络身份的“主钥匙”，正如 他去年在一篇博客文章中对此作了解释 。
“大多数系统都没有设计来应对攻击者接管手机号码的情况。 这真的非常严重，”Schouwenberg写道。 “我们的手机号码已经变成了一个几乎无法撤销的标识符。 它从来就不是为此设计的，正如社会安全号码从来就不是为了充当凭证而设计的一样。 如今，手机号码为大多数服务和账户提供了“王国钥匙”。”
黑客一旦控制了你的手机号码，接下来会做什么，恰恰取决于他们想要什么。
“我拿他们的钱，过我自己的生活”
如果你的自行车被盗，你应该在Craigslist上查看是否有人在黑市上出售它。 如果你的Instagram账户因SIM卡互换而被盗，你应该去OGUSERS上查看。
乍一看，OGUSERS和其他论坛没有什么不同。 它设有一个“垃圾信息/玩笑”版块，还有一个讨论音乐、娱乐、动漫和游戏等话题的版块。 但最重要、最活跃的部分是交易市场，用户在那里买卖游戏和社交媒体用户名，价格有时高达数千美元。
在最近的一条帖子中，据论坛一位管理员透露，有人以2万美元的价格出售了Instagram账户@Bitcoin。 截至6月13日，一份仍在线的列表显示，一名用户以1000美元的价格挂出了Instagram账户@eternity的出售信息。
这只是OGUSERS上出售的账户类型的两个例子。该论坛于2017年4月推出，旨在为人们提供一个买卖“OG”用户名的场所。 （论坛名称源自俚语OG，即“original gangster”（原版黑帮）的缩写。）社交网络上的OG用户名指的是被视为很酷的用户名，可能因为它是@Sex、@Eternity或@Rainbow这样的单个独特词语，也可能因为它是@t或@ty这样非常短的用户名。 名人也曾是目标。
赛琳娜·戈麦斯Instagram账户被盗后的截图
例如，去年8月，黑客劫持了赛琳娜·戈麦斯的Instagram账户，并发布了贾斯汀·比伯的裸照。戈麦斯账户上的第一个名字也被改成了“Islah”，与当时OGUSERS上一位用户名为Islah的用户所使用的名字相同。据OGUSERS上的黑客称，自称是戈麦斯黑客事件幕后人员的人声称，他们是通过重新获取与这位歌手兼演员Instagram账户绑定的手机号码而得手的，抓取该账户时其粉丝数达1.25亿。
“天哪，他们真的黑了Instagram上关注人数最多的人，”一位OGUSERS成员在名为“RIP SELENA GOMEZ”的帖子中评论道。
戈麦斯的一位发言人拒绝通过电子邮件置评。
