走投无路,希望老哥出出主意,帮我保住手机号

2021-05-14 18:07:23 +08:00
 MengiNo

之前我发了一个 qq 号被盗的贴,有老哥很快的回答了我的困惑,非常感谢( 上期回顾 https://v2ex.com/t/775784 )。现在有了后续,为了叙事完整我按时间顺序重新梳理下:

5 月 11 日 凌晨发现 qq 被盗,5 月 11 日中午去移动营业厅补卡,开机(此前该手机号一直处于关机状态,用无忧行首发短信和接打电话,这个在 v2 应该也是正常操作了,但是无忧行没法接腾讯的外呼,我只能去补卡),刚开机半小时移动发来一条短信通知我手机号被封,要去营业厅解封(但没有立即生效,我也没有意识到严重性)。5 月 11 日下午,在联系上客服上传了手持身份证正反面后解封了。解封后我删除了骗子加的好友,重新绑定了手机(正好绑上了那个被封的手机)、重新设置了密码,还开通了令人作呕的腾讯手机管家,本以为 qq 的事情就结束了。

ps:拿回 qq 后我发现 4 月 10 号就有陌生设备登录,我的手机号是 5 月 11 日补卡之后封的,之前无忧行都用的好好的,腾讯也没有任何风控警告和提示,警察更也是好玩,作为 “作案工具” 我不开机你就不封。

5 月 12 日上午手机正常使用,下午无电话(其实有电话,但手机已经无法使用了),晚上问 10086 得知被封,10086 要我回去看那条短信我才发现问题大条了。5 月 13 日早上,到营业厅问了移动,得知是公安反诈中心封的,移动给了我一份《承诺书》,大概意思就是保证不再犯,再犯自愿永冻该手机号且不得在申请,然后发给反诈中心的邮箱。

本来我也没多想,结果 5 月 13 日晚上我还没来得及把手持保证书的照片发给反诈中心,我的 qq 又被盗了。晚上 7 点左右,我随手打开 qq,点到“qq 安全中心”页面,提示账号登录保护已关闭,我又给他打开了,而且确认了下没有其他异常设备登陆过,就没多想。结果过了一小时 qq 被强制下线,又被反诈中心冻结了。全程我手机 qq 登着的情况下,没有任何推送和警告。

看到这个情况我真的被吓傻,如果我早点把运营商给我的《承诺书》发给反诈中心,结果我 qq 又被盗,不就直接自愿永封。于是我直接报警,想让 110 帮我去协调一下反诈中心,可千万别封了我的手机号,我和警察说如果是我干的你们早来抓我了,既然没来抓我为什么封我手机。结果到了派出所,警察完全就不想处理,只想早点打发我走,一下说没有什么内部系统,他们也不知道,一下说现在半夜没人能处理。最终给我个电话说是市级反诈中心的让我问问他们。今天我给市级反诈中心打了电话,他们说让我联系省厅,省厅说是外省某市某分局的刑侦大队封的,让我联系他们,刑侦大队又给了个某警官的电话给我。最终某警官说你打一个电话来无凭无据我怎么能给你查内部系统,所有系统都联网的你找你们当地的就可以了,要么你 找腾讯 让他们给你证据你去当地警方报警。自此 Gov 是完全靠不住了。

现在只能靠自己排查,首先为了安全起见,我连夜重装了 mac,抹掉了 iPhone 。但我另外一个 qq 号也是绑定我那个被封掉的手机。抹掉 iPhone 后触发风控,我无法收验证码,连另外一个 qq 也登不上了。于是我就按腾讯安全中心的指引,去重置手机,结果没想到真和大刘说的一样。只需要 真实姓名(早就烂大街了 腾讯 qq 群关系泄露具有不可推卸的责任)、身份证(想找肯定找得到)、手机号(看似必填其实完全不验证,随便填个 Google voice 都行)、外加 3 个 好友验证就可以了。验证通过后就可以改掉密码和绑定手机(我为了测试还乱绑了一个 textnow 的号码,也顺利通过了)

自此问题很明了了,qq 号只要存在内鬼好友,就没有任何安全可言,哪怕绑定手机、哪怕开通腾讯手机管家,腾讯甚至连登录历史记录都没有,等反应过来的时候号已经被封了,腾讯手机管家也上不去了,什么线索都没有了。现在因为 qq 的这个垃圾找回机制,我完全不敢提交《承诺书》去解封手机,而没有手机在 mac 和 iPhone 都被抹掉过的情况下,很多账号过不了风控,造成很大不便。而 qq 内鬼好友,几百个人根本无从排查,只能大规模清洗好友,甚至直接注销 qq ?

这一条完整的链条真的让我汗颜,qq 好友安全意识薄弱 -> 你的 qq 号被盗 -> 你的手机号没了 -> 其他服务全部受影响 -> 漫长的扯皮撕逼最后通过卖人脸、卖手持身份证、卖一切隐私换回账号,完了你还得谢谢他们帮你找回账号。

8602 次点击
所在节点    问与答
73 条回复
MengiNo
2021-05-15 10:36:10 +08:00
@xiang1xiang qq app 上申请找回只需要两个内鬼就可以,但需要填一个中国的手机号(但不做验证只是填进去就可以),pc 端 web 上找回需要 3 个内鬼,手机号可以乱写任意国家的(同样没有做验证)。这种机制可以很快的让职业盗号者的目标几何扩张,盗来一个号就把好友遍历一遍,看看是否有和自己手上掌握的号有共同好友的,一旦有下一个目标就出现了,这样递归盗下去。

手机管家我彻底研究了遍,关于 qq 方面只有 4 个功能,第一个是查看登录 ip,可以让你看到这个账号登录 qq 的时间和 ip 。第二个是管理常用设备,常用设备可以直接登录豁免两步验证,第三个是开启登录保护,开启之后非常用设备需要手机验证码才能登录。最后一个是开启邮箱、游戏保护,开启后邮箱只能通过 《 qq 邮箱》 这个 app 登录,游戏保护我没有游戏不太清楚,但是手机管家提供了一个 2FA 的动态码,可能就是这么个类似以前 将军令、密保令牌 这样的功能。

这个 app 的核心就是给一些操作增加一个 手机验证码的 登录验证。而我上文已经说了,通过好友找回可以直接改掉 绑定的手机,盗号者通过好友找回盗了你的号,改了你绑定的手机后,他想登录,的确手机管家还是会让你登录的时候进行验证,可是这时候短信验证码会发到他设置的新手机里,等于形同虚设。

至于你说的通知问题,我的最后一张图你可以看看,那是我 qq 号 A 的邮箱,非常高强度的通过 申请好友验证 去“模拟盗取” qq 号 B 。但所有的信息都是腾讯单方面联系我找回时设置的指定邮箱(比如我设置的 qq 号 A 的邮箱),我的 qq 号 B 绑定的手机、qq 邮箱自始至终没有收到任何信息和提示。我不知道你为什么说我臆测,你可以自己去实操一下,试一试腾讯会不会给你发信息。在我眼里我也觉得腾讯这么大的公司不可能一点通知都没有,我只能认为每个人的风控机制不太一样,事实上他的确没有给我发任何信息。
nguoidiqua
2021-05-15 10:44:15 +08:00
@xiang1xiang

楼主认为是三个好友被盗,然后利用三个好友账号间接盗了他,我个人觉得这个可能性不大,这年头凑三个好友同时被盗也不是那么容易的,查信息改密保盗号对盗号者来说也过于不经济了。

认识的人要这样搞他倒是可以,用小号加他或者多人联合,申诉的时候会不会提醒倒是不确定,QQ 很多年没申述了,但别的网站搞账号申述或者改绑定都会提醒是不是自己在操作的,难道腾讯这点服务都做不到?

总感觉他的账号也许不是被盗了,而是某些活动被腾讯认为有问题,就封了。他也没找到原因所在,所以反复被封。
MengiNo
2021-05-15 10:54:21 +08:00
@hemingcn 96110 已经明确说了就是因为我 qq 涉嫌诈骗,有人被骗报警了,我的手机号被外省某市某公安分局的刑侦大队封了,并给我下发了短信指引我去找具体操作的部门。我打给这个刑侦大队的某警官咨询了,虽然他以内网数据为由拒绝披露更多信息,但是他说了就是因为我 qq 被人拿去诈骗,有人被骗报,警警察封了 qq 并上报公安部核验手机号,把手机号也封了。我以 “我是被盗号了,我也是受害者” 为由要求警察提供确切证据,说如果你们有证据证明是我实施的诈骗,大可以上门来抓我,如果你们没有证据坐实我,为什么封我手机号?而警察的回复是让我自己去找腾讯获取更多证据证明自己“被盗号”,然后找当地公安立案处理手机的后续事宜。这是警察方面的说法。

腾讯方面的说法是 手机号他管不着,但是 qq 号是因为涉嫌诈骗被“有关部门”封了,需要我提供手持身份证照片,他们提交给“有关部门”等对方核实后解封,等于说这个封号操作与腾讯无关。但是以保护隐私和没有权限为由,拒绝披露更多关于 异地登陆、信息修改 等更多内容。我一直想让腾讯提供 当时 4 月 10 日是哪个 ip 哪个设备登录的我的号进行诈骗,他们是如何登录的,如果是通过密码登录那他不可能有短信验证码,很可能就是通过好友申诉 修改了绑定手机和密码,我想让腾讯提供一下修改密码的历史记录,他们也拒绝提供。

所以非得说起来我的确也只能是“臆测” 我的 qq 是被人利用好友验证盗了,因为我没有任何获取相关具体信息的手段。我想让警察帮我立案,好去找腾讯索要进一步数据,警察不肯,我想让腾讯提供更多数据去找警察证明我是被盗号的,腾讯不肯。退一步说,哪怕真的是我自己的问题泄露了密码,如果腾讯能给一个较为明确的说法,我现在也不至于这么风声鹤唳。
villivateur
2021-05-15 10:54:54 +08:00
这个应该发在全球工单系统啊,腾讯这个安全策略也太狗了
newee
2021-05-15 11:07:07 +08:00
你以为的警察可能是骗子。下发的短信说你诈骗 ,其实是骗子为了骗取你的个人资料 。 所以你的卡其实根本没有被封,只是骗子拿着你的信息,重新办了一张新卡。然后用新卡,登录接收短信验证码,登录你的 QQ 。

这种解释合不合理?
xiang1xiang
2021-05-15 11:10:18 +08:00
@MengiNo
@nguoidiqua 我记得找好友辅助,相关的信息会往邮箱里发一份的,三个人我觉得可能性几乎没有。人干点啥总得有点利益驱动吧。无缘无故的搞一个人我不知道为什么,除非精神病。另外,三个好友并不是添加了立马就能辅助
Stain5
2021-05-15 11:10:59 +08:00
@tianlan 这个超出工信部的职能了,他们不会插手的
xiang1xiang
2021-05-15 11:12:38 +08:00
@MengiNo 另外,你可以设置把 QQ 邮件转发到别的邮箱,比如 Gmail 。别人进行申诉的时候,会有一份信息发到你邮箱,就算删了也没用
MengiNo
2021-05-15 11:13:20 +08:00
@nguoidiqua 我昨天和朋友反复测试到深夜,首先需要一个可以登录的 qq 登录上,然后发起找回申请,填写一系列材料后,最后一步是填写一个现在可以用的邮箱(我测试了 163 的和 qq 邮箱)以便收到一个“回执编号”,然后把编号告诉好友让他们帮你进行验证,事成之后腾讯会发修改密码的链接到你之前写的指定邮箱。等于整个流程中,只要填材料没有任何真实性验证,比如手机号没有短信验证,甚至随便写个国外的都可以,邮箱不需要邮件认证,随便弄个邮箱也可以,好歹强制要求用 发起者的 qq 邮箱 到时候追起责来也有的找。

至于被找回方(也就是被盗的这一方),是没有任何通知的。最后附图是我被盗的这个号的 qq 邮箱,没有任何通知,但注意看邮件,这显然就是盗号者盗了我的号,然后利用我盗取我的好友。我第一时间和能联系上的一些朋友联系过了,有些好友的确被盗了,有些好友表示没有问题,可能是腾讯风控立功了。

![WechatIMG9.png]( https://i.loli.net/2021/05/15/zQflkV62oRsNa75.png)

被腾讯风控封的话,违规历史里可以看到是 “因为涉嫌被暂时冻结 qq 客户端登录”,而我最新的一条记录是 “因为涉嫌发布 /传播诈骗信息或涉嫌诈骗行为被暂时冻结客户端登录”,被有关部门封掉的那条是 “因为涉嫌发布 /传播诈骗信息或涉嫌诈骗行为被永久冻结客户端登录”。个人认为风控的概率不太大。
MengiNo
2021-05-15 11:31:04 +08:00
@xiang1xiang 相关信息只会发送到申请找回时的指定邮箱或手机,以及发送到帮忙验证的好友的 qq 邮箱,被盗者邮箱没有任何提示,也没有收到短信。你可以看看我最新的 append,我号被盗后也被盗号者利用去盗我好友,但是我这两天和好友确认时,有些人就是和我说一切正常没有感觉什么异样。qq 邮箱都不会收到信息,自然转发也没用 2333 。不过感谢建议,我会尝试开一段转发看看情况。
wdssmq
2021-05-15 11:32:58 +08:00
其实就和防盗门一样,而所谓技术开锁并没什么技术,或者说技术开锁被滥用的情况下,厂家要么变更技术开锁的逻辑,要么彻底放弃技术开锁的通路。。

对于后一种,户主确定是自己丢了钥匙,那么就应该在物业+民警的见证下找人暴力拆除+换门,至于当晚你去哪儿住自己解决。。

甚至在这个逻辑下(只能暴力拆门),如果房子是租出去的,租户自己丢了钥匙,而房东恰好在外地或者其他合理原因不能前往证明的话,那就等什么时候能来什么时候拆,同样期间住哪儿不管。。



网络时代绝大部分人的便利真心是由少数人承担了代价,甚至取舍都是厂家替我们决定的。。要我自己说的话,虽然不至于像上边防盗门的类比那么极端,还是希望在现在基础上往安全性那么倾斜一下。
MengiNo
2021-05-15 11:37:48 +08:00
@newee 我报过警的,去了派出所两次了。就算 96110 是骗子,派出所给了我市局的本地固话,本地市局说归省厅管,省厅主动联系我,下发短信让我去找外省的某刑侦大队。而且现在新补卡都要人脸的 ... 以及 96110 你可以查一下 反正工信部和运营商都出来背过书是不可篡改的反诈中心电话,最大作用是事前预警,去年还到处宣传这个电话一定要接 ...
nguoidiqua
2021-05-15 11:41:45 +08:00
@MengiNo

如果改信息都不给原来的联系方式发提醒,不给中止机会,那腾讯这个申述流程确实有很大漏洞。这样确实可以弄两个号先找个人钓鱼,然后再钓一个他的同学同事什么,就可以轻视盗掉整个班整个公司的大部分 QQ 号。

如果确定是这种情况而不是风控或者被人恶意举报,那除了清空大部分好友真的没有别的办法避免了。
MengiNo
2021-05-15 12:01:42 +08:00
@nguoidiqua 我最后的邮箱截图就说明了问题,盗号者就是利用这样链式盗号的,我的号一被盗,他们马上利用我的号大批量的去通过好友验证我的朋友。而且我的朋友有的被盗了,有的没被盗了,有的被盗的是我说让他们去检查一下才发现的,有的没被盗就一直和我说没感觉任何异常。说明他们也没有收到任何通知。

我自己花式作,一下用无忧行,一下不看邮箱、一下开梯子什么的都无所谓。我的好友也没有感受到任何异常我觉得也能说明一些问题,毕竟大多数人都用着 qq 邮箱,绑着+86 的手机。

至于内鬼问题,我也思考了一下,很可能是早期的一些所谓“工作 qq”,比如公司有一个公用的“工作 qq”,反正号是公司的,就没人愿意绑定自己手机啥的,然后密码离职了交接给下一个员工可能都不一定带改的。而现在大多数人都用微信了,这种“工作 qq”可能久而久之就没有维护了,就容易变成盗号者的“原始资本”。或者一些个人的“工作小号”,自己私人 qq 不愿意拿来加工作的人,就建了个工作小号,可能安全防护也做的不是很到位,然后可能离职了或者离开这个行业了或者现在改用微信了,qq 也就不维护了。

根据这个思路,我已经清洗了很多的“前同事”、“前对接人”,然而 qq 有一个贴心的恢复好友功能,恰好是盗号者的“神助攻”。我清洗完后,模拟内鬼没抓干净,再次让好友帮我验证改了密码和绑定手机(模拟盗号),改完之后,登录顺利登录手机 qq 。这时手机 qq 会有个推送,大概意思是恭喜你找回 qq,但是最近一周内你的好友 xx 人被删了,点击申请恢复,留了个链接。没错,清洗了半天,腾讯很贴心的都给你恢复回来了。也不能说好心办坏事吧,这个功能的确很刚需的,但是验证机制过于薄弱,让所有的贴心功能都成了不法分子的空子。
cs419
2021-05-15 12:06:12 +08:00
太长不看,直接看评论区,貌似楼主脑子一团乱麻
建议吹吹风 冷静冷静
imn1
2021-05-15 12:09:09 +08:00
实名制就这好处,逻辑异常复杂(我也不敢妄议混乱),实名人各种无法证明“我是我”,而犯罪的人因为不需要理会这些逻辑,反而操作很便利

封手机号就是切断犯罪途径,受害人和侵害人一同损失,但实际上就是受害人承担了几乎全部损失

逻辑最难的地方就是证明一个不存在的人、物、事,偏偏现在实名制这个举证责任落在受害人身上(有罪推论),我只能呵呵。本帖和回复各种研究讨论都没用,这条没法改变就是本质没法改变

我是无力抗争,只能做好应对最糟糕状况的预案,减少损失
至于预案,各人不同,我提醒一点:实名和实名其实是不同的,现在实名制混淆了一些事实,就是全都实名了,好像没区别,但用于本人(跟其他人无关)的实名显然和联系用的实名不是一个概念,线上线下也不是一个概念,在注册时就应该分清楚实名的目的是什么 —— 身份鉴定、实名社交、账户备案……显然第一个是最重要的,要和后面的切割分离

最后补上一句 V2EX 真言:你算老几啊,谁会盯上你的隐私
MengiNo
2021-05-15 12:29:12 +08:00
@cs419 直接看 append 2 和 3 就可以了,主楼宣泄了太多东西太乱了,不好意思。append 2 和 3 整理的比较清晰了也有图,有兴趣可以按着流程走一走
pjntt
2021-05-15 12:40:13 +08:00
申请新的手机号,和新 QQ 号.把原 QQ 号绑定到新手机号上.,把新 QQ 号绑定原手机号.把原 QQ 上的信得过的好友转到新 QQ 上.
Lemeng
2021-05-15 12:42:18 +08:00
也太长了,兄弟,应该整理下思绪,精简下语言。
言简意赅
Ben4
2021-05-15 12:52:52 +08:00
我以为我说话就够啰嗦了

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/776991

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX