“羊毛党”们最喜欢用的手机号码分析 – 作者:blackhole666-安全小百科

手机号码是黑灰产进行账号注册登录、实名认证、奖券礼品领取中必不可少的工具。通过大量的“黑卡”（黑灰产用于批量操作的手机号码）以及“猫池”设备，黑灰产能够进行批量的账号注册和登录，进而轻松“薅羊毛”。

目前黑灰产进行“薅羊毛”操作的“黑卡”主要有两类，一种是从未实名过的手机卡，这种卡往往是在监管规定生效之前开卡；另外一种是利用规定的漏洞而流出的手机卡，如利用企业名义批量申请的物联网卡，伪造实名认证的手机卡等。

顶象技术安全专家在对近期拦截的黑灰产数据进行分析时发现，黑灰产使用的“黑卡”分布趋势明显。例如，虚拟运营商依然是黑灰产“最爱用”的手机号段，归属东莞的“黑卡”最多；而“卡商”、运营商代理、接码平台等则成为“黑卡”的主要提供者。

黑灰产“青睐”虚拟运营商

2016年7月，“徐玉玉案”曝出，虚拟运营商陷入空前的危机。

由于实名制把控不严，渠道管理失控，让诸多的虚拟运营商号段成为了骚扰电话、垃圾短信、电信诈骗的重灾区。在此期间，工信部曾公开约谈三家虚拟运营商，并通过多轮暗访方式，抽查曝光存在违规行为的企业名单，但依然不断有类似问题爆出。导致人们一接收到170、171号码来电就以为是诈骗电话。

人们的直觉似乎没有错。统计显示，黑灰产使用的手机号码中，39%来自虚拟运营商，其次是中国联通（31%）、中国移动（24%）和中国电信（6%）等传统运营商。

根据工信部公开数据显示：截至2018年初，国内共有42家虚拟运营商，吸引了6000万手机用户（其中3家企业的用户数超过500万户）；而中国移动、中国联通、中国电信三家移动用户在2017年底已经分别达到8.87亿、2.84亿、2.49亿。虽然虚拟运营商占全国移动用户总数的比重仅4%，但是在“黑卡”与正常号码中的比例已经远超过传统运营商。

当然，并不是所有的虚拟运营商的手机号码都被黑灰产青睐。统计显示，黑灰产使用的号码最多来自阿里通信，其次是远特通信、迪信通、分享通信、国脉极信、银盛通信、蜗牛移动、朗玛通信、长城移动、海航通信等。

经过了长达5年的试点后，虽然虚拟运营商已经正式商用。但是，如果不再下大力气处理各种电信诈骗的影响，虚拟运营商号码未来发展恐怕依旧不明朗。

经济越发达，“黑卡”数量越多

统计显示，广东、江苏、浙江、辽宁、河北、山东、河南、陕西、上海、北京等是“黑卡”分布最多的地区。

而东莞成为“黑卡”数量最多的城市，其次是南京、广州、深圳、杭州、上海、沈阳、石家庄、北京、温州等20个城市。

分析发现，黑灰产使用的手机号码分布与地区经济发展、手机用户量有密切相关：手机用户量越大的地区，黑灰产的号段数量也就越多；经济越发达的地区，黑卡号码也就越集中；此外，电商、网贷等平台也多集中在经济发达地区，本身就是黑灰产首要瞄准的目标，这也是“黑卡”集中的原因之一。

“黑卡”是如何流入到黑灰产手中的？

黑灰产的这些黑卡从哪里来呢？这离不开一个关键角色——“卡商”。

顶象技术安全专家跟踪发现，大量的“黑卡”通过小规模、多批次的方式流入市场。其中，少数手机号段下集中了几千个“黑卡”，甚至是连号的号码，估计这与运营商经销商、内部员工的个体行为关系非常密切。为了牟取利益，部分人员会冒着违规的风险，寻找手机卡管理的漏洞，将部分号卡批量出售给“卡商”等组织者。

“卡商”们拥有大量特定号段的手机卡，手机卡的数量往往达到几千张，这些手机卡来自不同的运营商。为了消除购买者的疑虑，“卡商”还表示其与运营商的经销商有着固定而密切的合作，还会进行实名认证。除了“卡商”，接码平台、黑灰产自购号码等也是“黑卡”的来源。

“黑卡”的申请、实名信息伪造、利用等流程，已经形成了一条完整的产业链。通过在身份黑市上购买大量的个人身份证信息，黑灰产可以不经过严格的认证，就能完成手机号码的开卡程序。而且为了规避日渐严格的监管，黑灰产分子还会通过“养卡”来提升躲避监管的几率。也就是说在开完卡的前几个月中，大量模拟正常用户的操作，让监控系统误以为这是正常的手机卡而对其放松监管。这些黑卡往往被当做优质资源用在一些防范较为严格的服务商中，以骗取系统的信任，牟取大量利润。