近日，多地警方通报一种新型诈骗方式。诈骗人员给入驻美团的商家发送短信，冒充官方要求商家认证，待商家输入姓名、手机号、身份证号、银行卡号以及“验证码”盗刷银行卡。

商家收到的短信，链接经常变化。

伪造短信“确实是煞费苦心，链接都没什么问题的感觉”，该短信之所以能发出去，承接短信群发业务的企业员工猜测说，现在行业不好做，可能是有些短信公司为了接单，放松警惕了。

····

诈骗短信诱导商家输入银行卡信息

“【美团网】尊敬的美团商户您好！由于平台系统升级，请及时认证短信，店家www.meituanr*nzhe*g.com”以免影响正常接单！回T退订”。

近日，刘先生（化名）收到了上述短信，但因为“现在不和美团合作了，所以没有理会”。不过，很多入驻美团的商家都因为类似诈骗短信蒙受了损失。

短信链接到的的网站页面带有美团图标，文字内容介绍说：因不少商家违规经营，依法整改助力商家清理，请及时认证信息。页面最下方是美团网站的电信业务经营许可证。

假冒的美团商家认证页面。图自网络

点击“商家认证”后，网站会要求商家输入手机号、银行卡号、验证码等信息。一旦输入验证码，商家的银行卡就会被盗刷了。据警方通报，全国已有多人受骗。

对于上述骗局，美团对隐私护卫队表示，平台会通过后台直接与商户联系，不会通过附带链接的短信引导商户输入个人信息。其还提醒，商家收到此类短信，切记不点击，不输入个人信息。如果接到类似短信并造成经济损失，请第一时间联系美团官方客服并向公安机关报案。

····

群发短信疑点重重，难溯源

伪造短信“确实是煞费苦心，链接都没什么问题的感觉。”一家支持企业短信群发业务公司的市场总监陈远（化名）对隐私护卫队说，上述诈骗短信中，“1069”代表企业短信，通道商和运营商在承接这种业务时，会验证企业的营业执照、审核短信的内容。“像美团这种（企业），我们拿到授权书才敢发。”他强调说。

“现在行业监管很严格，连游戏推广都不让发，一般（只能）发正规会员营销短信，比如电商优惠活动。”陈远猜测，现在行业不好做，可能是有些短信公司为了接单，放松警惕了。

根据“1069…”的号码能追溯到发送者吗？陈远表示很难，毕竟市场上很多代理商。

此外，值得注意的是，诈骗短信是如何精准发到商家哪里的呢？

虽然具体方法难以确认，不过，隐私护卫队发现，在美团商家介绍中，点击“电话”图标，有的能获取手机号，有的是座机号。

····

骗取验证码是盗刷成功的关键！

上述骗局之所以能成功，除了短信、钓鱼网站的精心仿冒，难辨真假，最后盗刷银行卡成功的关键是短信验证码。

11月6日，在太仓警方公众号发布的案件中，受害人支某点击短信中的链接后，输入姓名、身份证号、银行卡号、手机号、验证码（云闪付绑卡）信息后，银行卡被盗刷9笔钱，共计8869元。

隐私护卫队实测发现，云闪付App绑定银行卡、开通在线支付功能时，输入银行卡号、姓名、身份证号、手机号等信息后，最后输入验证码，设置支付密码即可绑卡成功。

这意味着，银行卡绑定手机号收到的验证码是身份验证的最后一步，是盗刷成功的关键所在。

与云闪付相似的是，隐私护卫队实测发现，支付宝绑定银行卡时，短信验证码也是最后验证身份的关键步骤。

云闪付对隐私护卫队表示，用户在注册云闪付账号、绑定银行卡时，云闪付会通过多个渠道校验用户身份，如通过商业银行进行银行卡信息验证（校验银行卡号、证件号、姓名、银行卡预留手机号、短信验证码等相关信息的一致性），还会通过公安系统校验身份证号和姓名的一致性。

美团商家被骗的根本原因是个人信息泄露导致的欺诈损失。如果用户短信验证码、银行卡号、手机号等个人敏感信息被泄露，无论是哪个支付类App碰到此类情况，都会影响到用户个人的资金安全。

防骗小贴士：

1. 验证码很重要，不要轻易给出去！

2. 遇到群发短信时，就要多加留意。

3. 看到不明链接，谨慎打开。

4. 网站需要输入个人详细信息的，涉及银行卡号的，更要谨慎小心。

文/南都个人信息保护研究中心研究员 尤一炜

编辑：蒋琳