
这个问题,主要有两种场景,手机号码被别人注册了微信,场景一:手机号码是新买的--属于正常情形,按照腾讯的官方指导处理吧;场景二:手机号码始终在自己手里--这里主要讨论的是这种非正常情形。
还有千夜应该和我一样,遇到的是第二种场景。
个人的推断:
微信下发注册验证码短信的程序存在漏洞
分析如下,欢迎大家一起讨论其他可能性。
背景:
1. 手机号码已使用7年,移动4G USIM;
2. 事件发生前后,手机能正常使用;
3. 使用iOS,未越狱,不与他人共用apple账户;
4. 微信2011年使用qq注册,之后与手机绑定;
5. 除手机外,未在其他设备使用过非二维码登陆;
事件经过:
1. 收到微信注册验证码;
2. 几乎同时,微信提示,“你的微信账号不再绑定<本人的电话号码>,此号码已被另一个微信帐号绑定。如果上述不是你本人发起的绑定操作,而且你还在使用该手机号,你的短信验证码可能已被盗用。为了你的帐号安全,你可以点此重新绑定该手机号”
3. 立即重新绑定手机号;
4. 拨打10086,验证手机号码能够正常使用;
5. 提示长辈,如若接到涉及金钱的微信或信息,皆为骗局.
事件分析:
关键点是短信验证码为什么会被他人知晓,导致新号被注册,手机与原号码解绑。
验证码被盗,可能发生点:接收端,传输介质,发送端;
1. 接收端,即手机
本人刚好是通信从业人员,由于手机前后均正常使用,排除SIM卡被人挂失重办的可能,被复制也可排除--核心网会验证用户重复性;同时iOS 未越狱情况下,还是值得信赖的;不与他人共用apple账户,也排除了,微信安全中心中提出的,共用账户,导致imessage 混乱的可能性。
2. 传输介质:
a. 基站到手机:不可能。基站到手机其间加密非常安全,而且发生该问题的人分布在不同地点,不可能在空口盗取验证码;
b. 运营商传输网:不可能,先不考虑难度,如果能做到这个程度,盗取手机银行验证码才是高收益行为;
c. 腾讯server到运营商PDN的传输网:不大可能,数据量大,不大可能实时拆包,抓取特定手机号的验证码。
3. 发送端,即微信注册验证码的生成程序:
最有可能,收到短信和微信解绑提示只差秒级(看不到分钟之后的时间戳,ms 级别也不是不可能),应该是有程序在做。
所以,综上,我个人认为是微信的验证码机制有漏洞。所以大家也不用过分担心银行卡被盗,当然小心一点也是好的。
以上是我的分析,手机码字,格式不好调整,大家见谅。非常期待微信团队同学帮忙点评,或者做安全方面的同学一起讨论。
谢谢!^_^
