反詐最前沿丨為領免費游戲皮膚 高中生落入陷阱 母親賬戶被盜刷15萬

說到防范電信網絡詐騙，大多數人都不會把這件事跟孩子聯系到一起，小孩沒什么錢，詐騙分子何必費盡心思去騙他們呢？其實表面上看不法分子盯上的是孩子，最終目的則是竊取家長的支付信息實現盜刷。關注一起發生在北京的案例。

17歲的高二學生小林平時喜歡打網游，一天他收到了一條QQ好友驗證，對方稱自己是一名游戲主播，如果小林能夠加入他的粉絲團，對方可以替他免費購買“王者榮耀”的游戲皮膚，并發了營業執照的圖片以作證明。

北京市公安局西城分局刑事偵查支隊中隊長 申文靜：事主聽了還挺高興然后就通過了，對方隨即打過來一個QQ視頻，跟事主說如果要實現這個操作的話必須兩部手機驗證身份，讓事主去拿家長的手機。

于是小林把媽媽的手機拿了過來。這時對方又說，為了確保操作的真實性，小林需要用自己的手機開著QQ視頻對著媽媽的手機拍攝。

北京市公安局西城分局刑事偵查支隊中隊長 申文靜：根據對方的指示，事主先操作進入家長的支付寶App，進入之后對方又指導事主點擊了免輸卡號添加這個選項。

隨后，對方在視頻通話中誘導小林向媽媽的支付寶免輸卡號添加銀行卡，并修改了支付寶的密碼。在對方的哄騙下，小林還在手機上輸入了媽媽的名字以及身份證號碼等信息。

直到媽媽忙完家務后看到他的奇怪舉動，他才中止了與對方的視頻通話。后經查詢，小林媽媽名下的兩張銀行卡，在不到兩個小時里，以轉賬、異地刷卡消費等方式產生了30多筆交易，共造成損失15.3萬元。

不知道銀行卡號和密碼

騙子是怎么盜刷的

在這起案例中，無論是被騙的中學生還是遠程操控他的騙子，他們自始至終都不知道家長銀行卡的卡號、轉賬密碼以及支付寶密碼，甚至在案件發生前，兩張被盜刷的銀行卡都沒有與支付寶賬戶綁定。但是騙子卻通過支付寶賬戶對兩張銀行卡盜刷轉賬30多筆，這是怎么做到的？

北京市公安局西城分局刑事偵查支隊中隊長 申文靜：沒有掌握具體信息怎么實現銀行卡盜刷？他們通過免輸卡號添加銀行卡這項功能，把中學生家長的銀行卡賬號綁定到了支付寶，變相掌握了銀行卡的操作權。

免輸卡號綁卡?功能，是指手機支付平臺通過與銀行合作，實現無需手動輸入銀行卡號即可完成綁卡的一種服務。民警表示，這一服務在給用戶提供便利的同時，也存在一定安全風險。

北京市公安局西城分局刑事偵查支隊中隊長 申文靜：點擊支付寶里面的銀行卡服務選項，進來之后有一個添加卡選項，里面有免輸卡號添加的服務。里面列了銀行的清單，只要銀行名下有銀行卡號就點擊它，比如說點擊北京銀行添加卡，同意協議并添加以后，在這個銀行的所有卡號就會顯示出來，而且這個銀行會發送短信驗證碼，輸入驗證碼之后就顯示綁卡成功了。

憑驗證碼完成綁卡

轉賬權限同步授權

在免輸卡號綁卡過程中，不需要輸入具體的卡號和密碼，也不需要人臉識別認證，只要能知道手機驗證碼即可。問題來了，綁卡之后，如果想通過支付寶進行轉賬或者盜刷不是還需要密碼嗎？很少有家長會讓孩子知道這些，既然孩子不掌握，騙子就沒法從孩子口中套取，騙子又是如何能夠盜刷和轉賬的？

首先需要了解的是，當在支付寶上完成綁卡操作后，除了在購物消費時，這張銀行卡可以被支付寶調用外，這張卡向其他銀行賬戶轉賬的權限也同步授權給了支付寶。換句話說，通過支付寶操作銀行卡轉賬，已經不需要銀行密碼了，需要輸入的是支付寶的支付密碼。可是被騙的小林并不知道媽媽的支付寶密碼，他是如何轉賬的？

北京市公安局西城分局刑事偵查支隊中隊長 申文靜：對方又讓事主修改支付寶的支付密碼，然后根據對方的指示，事主把密碼改成了888000。

小林能修改媽媽的支付寶密碼嗎？記者對此也進行了嘗試，在支付寶內點擊支付密碼按鈕后，系統會給出兩個選項，當記者選擇不記得支付密碼后，默認進入的是刷臉驗證環節。然而這個環節并非強制，只要點擊頁面下方“換個驗證方式”按鈕，就可以輕松避開刷臉。用短信驗證碼修改完成之后，記者又試圖再次修改支付密碼，也許是頻繁修改的舉動觸發了動態風控，此時在手機驗證碼的基礎上，系統自動提升了驗證難度，但仍然沒有強制進行人臉識別。

據受騙學生小林回憶，當時他就是通過短信驗證碼+回答相關問題的方式，對支付密碼進行了修改。有了支付密碼，詐騙分子就可以誘導小林進行轉賬操作了。

那么問題又來了，已經17歲的小林怎么會乖乖聽對方的話進行轉賬操作？手機上不斷收到的交易短信，難道就沒有讓他警覺嗎？民警介紹，詐騙分子謊稱讓小林做的事情，都只是為了“贈送游戲皮膚”而對他進行的身份驗證。并且告訴他，所有的轉賬流水都是虛假的，只有支付寶的余額才是真實的。

北京市公安局西城分局刑事偵查支隊中隊長 申文靜：對方又讓事主點擊支付寶里面的總資產選項，看完了總資產以后對方又引導事主轉賬了10塊錢，轉完賬之后又回到總資產的界面看了一下余額，沒有因為轉賬有變化。對方就是想告訴事主這個轉賬行為不會導致支付寶里的余額變化，事主就相信了。

作為一個社會經驗不足的中學生，小林哪里知道銀行賬戶里的錢和支付寶余額里的錢根本不是一回事，直到被媽媽發現，他都沒有意識到自己已經把媽媽銀行里的存款轉出了三十幾筆。

北京市公安局西城分局刑事偵查支隊中隊長 申文靜：特別要提醒小朋友們的是，在任何網絡場景中只要對方提出使用家長手機操作，索要短信驗證碼、詢問支付密碼、要求開啟屏幕共享、引導非官方渠道轉賬等要求的，必須第一時間停止操作，立刻告訴家長，絕不抱有僥幸心理。

同時也提示家長，盡量不要把自己的手機交給未成年人獨立操作。您可以開啟指紋解鎖、手勢解鎖等設置，以防其他人隨意打開您手機上的支付寶軟件。

同時，為了防止支付寶被他人遠程登錄，您可以開啟登錄保護功能進行防范。具體步驟是：先要進入支付寶的“賬號與安全”欄目，點擊登錄方式選項，進入后選擇開啟登錄保護。登錄保護功能一旦開啟，登錄時會強制增加人臉識別驗證，相當于為您的賬戶加上了一把安全鎖。

來源：央視新聞