本帖最后由 一点一滴 于 2018-1-19 09:47 编辑
正好看完《巨额来电》，谈点感受。
电信诈骗其实属于社会工程学诈骗中的一种，著名黑客米特尼克在《欺骗的艺术》中曾说，社工诈骗其实就是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段。”人永远是信息安全链条中最薄弱的一环“
《巨额来电》是借着国内电信诈骗和网络安全热的东风，拍摄的一部基于现实题材的犯罪类型电影，其实总体来说，该部影片从剧本到导演再到演员表演，都存在或多不少的问题，但仍然不妨碍这部电影的可看性，抛开技术层面的因素不谈，影片本身对电信诈骗运作机制的还原，对了解和熟悉电信诈骗的运作细节是有很大帮助的。 大多数人对电信诈骗这个概念已经如雷贯耳，但说到这个如何从上到下的运作，却鲜少有人能够完全回答上来。电影《巨额来电》从这个角度出发，从电信诈骗的上游组织开始拆解，逐步向下挖掘，展现了”菜商“一直到最后分赃的"水房"整条利益链的大致运作。 影片影射了一系列现实生活中的电信诈骗案例 徐玉玉案 电影中最典型的案例就是阿海妹妹大学学费被骗，影射的就是当年轰动全国的徐玉玉案。黑客先是通过攻击“山东省2016年高考网上报名系统”获取包括徐玉玉在内的考生信息，然后诈骗集团通过搜索“高考数据群”“学生资料数据”等聊天群，以每条0.5元的价格购买了黑客手中的五万多条2016年山东高考毕业生资料。骗子利用徐玉玉心系助学金的焦急心理，最终将徐玉玉骗至ATM转账，骗走上大学的费用9900元，伤心欲绝，郁结于心，最终导致心脏骤停，离开人世。 “8.25”电信诈骗案 电影一开场为突显阿海的诈骗技术，就上演了一场冒充公安诈骗戏码。影片中的富商被假冒成JC的阿海盯上，阿海利用并伪造假冒的公司财务记录，以恐吓危险为名，逼迫对方向自己转账。以及影片三分之二处，阿海故技重施，伪装成检察院对某公司高管进行偷漏税欺诈，均是取材自8.25电信诈骗案的变型案例。 2015年底至2016年2月期间，台湾人“伟哥”纠集徐维行（台湾籍）、曾柏叡（台湾籍）等人在印度某地城郊的一栋二层别墅内设置电信诈骗团伙窝点，并从国内招募组织李俊等数十人作为话务员分赴印度，分别冒充银行工作人员、公安民警、检察官等身份拨打电话，谎称对方信用卡透支、个人身份信息可能被盗用等，骗取被害人信任的方式进行诈骗，以“资金核查”为由，伺机要求被害人通过网银、银行柜台或“ATM机”将资金转入其指定的“监管账户”，先后向共计30余万人拨打诈骗电话，诈骗金额达5000余万元人民币，单笔最高金额达959万余元。 中国留学生虚拟绑架案 电影结尾，阿芳带领诈骗组织上演的一场虚拟绑架案，是和冒充”公检法“一样，发生率极高的诈骗手法。阿芳首先诱骗大老板的情人放弃联络，关闭手机。继而对大老板实施诈骗，诈骗组织对大老板先后拨打了数次电话，首次通话被大老板识破，说明他本人是具有防诈骗意识的，但随着大老板屡次拨打情人手机均提示关机，引起了他本人的恐慌，最终落入诈骗分子的陷阱。”关心则乱“是电信诈骗屡试不爽的招数，尽管宣传报道力量强大，但还是有人不断受骗。 2017年11月，多伦多JC公布消息，当地时间11月8日至10日，陆续有四名中国留学生失联，年龄介于16岁到20岁之间，JC证实，他们都是针对中国留学生的诈骗案受害者。在此类诈骗案件中，犯罪分子通过电话恐吓、操控、诱导，使受害人切断与家人、朋友的一切联系，造成受害人被绑架的假象。待受害人就范后，犯罪分子致电受害人家属，诈称其子女被绑架，索要巨额赎金。值得注意的是，被骗学生是具有防骗意识的，他们在接到诈骗电话后，上网查了JC电话，发现和骗子使用技术手法显示出来的号码一致，加上骗子各种问话相对专业，最终相信了犯罪分子的诱导，犯罪分子利用子女远在外地又失去联系的焦急家属心理，实施诈骗。 许多看似能够轻易识破的诈骗手段，却被犯罪分子屡试不爽，其中很大的原因在于电信诈骗是一个严密的有组织的诈骗集团，他们逐级分工，层层攻破受害人心理，实施诱变。 影片比较完整的还原了诈骗的运营链条。 ”菜商“ 首先是影片开场张孝全饰演的阿海，利用”菜商“提供的信息进行诈骗的策划，而这个菜商，就是社工环节中的关键一环：信息窃取和供应。 如今的电信诈骗不像十年前，利用简单粗暴的群发短信邮件或盲打电话来钓蠢鱼，这对于犯罪分子来说，效率太低。取而代之的是在了解被害人的个人信息后，有针对性的对被害人实施诈骗，这有点像网络攻击中的APT攻击，只不过它可能只需要简单的话术就能将人攻下。 近年来，网上所谓“社工库”、各类信息买卖猖獗，“菜商”作为信息商，通过各种渠道为电信诈骗分子提供大量的潜在受害人的信息，包括姓名、身份证号、社保号、银行卡号、手机号、邮箱号等信息，每条从几毛到几十元不等，从中获取大量利益。而电信诈骗团伙则凭借“菜商”提供的信息，有针对性的对潜在受害人进行诱骗，通过电话准确的报出受害者的个人信息，骗取信任。 话术诱导 影片中桂纶镁饰演的阿芳将诈骗集团的老巢选在泰国，并且通过有组织的分工进行诈骗。卧底徐小兔通过预先准备好的信息和脚本，对富商实施“绑架诈骗”。话务员首先伪装成“绑架分子”，并诱导“被绑架人”关机，让富商联系不上“被绑架人”，从而关心则乱，继而诱使富商顺着诈骗集团的钩子，转账汇款。 整个过程统统在一栋大楼内完成，包括一线话务员、二线话务员逐级分工，抽成，吃喝拉撒都在一起，而这些话务员，有的是“熟人”介绍来的，有的是冲着高薪越洋来的，所有人员都必须接受审查和管理，一旦想要逃跑还有可能被殴打致死。 影片中充斥着大量类似“一次打不通？没关系，经常碰到这样的情况，但你如果连续打三次，对方就会以为你有急事找他。”或“扮演机关单位人员时语气一定要不耐烦，用词一定要快速准确。”等话术技巧。 实际电信诈骗中，诈骗分子假冒公检法、贷款发放、绑架者等伪造身份，利用被害人的恐惧心理和贪婪心理，套用固定的话术加上精湛的演技，欲擒故纵地拿捏对方的心理，对受害人实施诈骗，这是电信诈骗得以成功的关键。 改号软件 影片中阿芳的犯罪集团手握改号软件，并且不断升级，可以轻易的改动拨出的手机号码并且模拟对方手机通讯录的联系人信息。致使受害者以为真的是某个熟人打来电话，然后对其实施诈骗。 实际生活中，电信诈骗使用的技术手段比影片中更加猖獗，不仅仅是影片中展现的伪基站和改号软件，黑色产业已经成为电信诈骗中重要的一环，也是最让人防不胜防的一环，因为其具有很强的伪装性和欺诈性。电信诈骗团伙可以对筛选出来的目标通过网络平台发诈骗短信，或者直接通过VOIP拨打诈骗电话，并且主动让你查询真实的公检法电话，待你确认后将拨出电话改成熟人或公检法等伪造的号码，进行诈骗。 黑产上游也会提供伪造的“公检法“钓鱼网站或定制的Teamviewer远控服务端，诱导受害人进行信息输入和转账，而随着Android木马的进一步猖獗，为网络电信诈骗增加了丰富的攻击方法，包括隐私窃取、短信拦截、远程控制和钓鱼等，后台上传联系人及短信信息、拦截支付验证码，甚至实施拨号劫持，当受害人拨打110电话时，安装在受害人手机中的恶意程序将原本拨打给110的电话，劫持之后转为拨打诈骗者的号码，从而让受害者对通话者信以为真，完全落入圈套。 “水房” 影片中阿海和阿芳在骗取大额存款后，采用“水房”进行分赃，从而躲避警方的追铺。“水房”就是电信诈骗组织转移赃款的环节，他们手握大把银行卡，随后将所骗资金迅速分批层层转移至几十张甚至上百张银行卡中，并在二三线城市多个点的atm进行迅速取款，躲避公安的追踪，事后根据相应比例为本案诈骗团伙的管理人员进行分成，发放工资和提成。 正因为电信诈骗有上述严密的诈骗流程，对公众进行逐步诱导，所以当人们真实面对诈骗电话的时候，还是可能会被层层诱骗而产生慌乱或不慎掉入陷阱。并且电信诈骗的追逃有其技术边界，往往追踪到关键环节，会发现继续追逃已经超出了办案方的管辖能力，往往追赃困难，难以抓捕。 所以对电信诈骗进行提前防范，是十分必要的，针对上文中提到的几个案件，有其相应的警惕措施，并且国家也针对电信诈骗案，出台了一系列防治规定，有助于防范电信诈骗： 防范冒充“公检法”电话诈骗 JC不会通过电话做笔录,逮捕证由JC在逮捕现场出示,不会通过传真发放,更不会在网上查到。公检法机关从未设立所谓的“安全账户”,更不会通过电话安排当事人转账汇款到“安全账户”。 防范伪基站等技术诈骗 当收到“银行卡密码升级”“积分兑换”“中奖”等含有链接的短信时,要通过银行、运营商的官方网站或客服电话进行核实,不要轻易点击短信中的链接。 防范借贷电话诈骗 学生对于关乎自身信息、财产安全的事,要多方求证,不要轻易相信他人的一面之词,轻易透露个人信息,甚至将身份证借与他人使用。要及时与校方进行确认情况是否属实，发现危险,及时报警。 电信诈骗手段繁多且层出不穷，但万变不离其宗，需要谨记转账前要通过电话等方式核实确认；手机和电脑要安装安全软件；QQ、微信要开启设备锁及账号保护,提高账户安全等级；不要连接陌生WIFI，不要将身份信息存在手机内或轻易给陌生人。 总的来说，《巨额来电》对于曝光电信诈骗产业链具有一定的教育意义，电信诈骗的防范需要每个人都参与其中，提高警惕，电信诈骗分子面对多数人防骗意识的提高，必定会研究层出不穷的新花样，所以那些看似简单的诈骗手法，当你亲身经历以后，未必可以像自己想象中那样泰然处之，我想《巨额来电》影片本身对于普及电信诈骗的手法和提高人的防范意识还是有一定功劳的。 | 
发表于 2018-1-19 09:39
发表于 2018-1-19 09:41
楼主