21世纪经济报道触目惊心！一部手机丢失后有多可怕？多平台中招，支付宝、银联紧急回应( 六 )

晚上回去两口子在电脑前继续回想所有细节，把整个过程串一遍，必要时用我的各种APP和账号进行实验，验证自己的分析判断。虽然补了手机卡，银行卡都冻结了，带支付功能的软件都找回来各种修改密码了，但总觉得哪里就是不对劲。
突然又收到了财付通的支付验证码请求，再关联起前面的几个可疑点，一下子想通了。他用其他支付账号绑了我们的银行卡， ?包括之前用手机号登陆苏宁时发现登陆的是别人新创建的苏宁账号、包括支付宝也是新建的，至于他们新建的的账号怎么通过的人脸实名认证，这个留在后面讨论。
说明除了这些APP ，肯定还在其他一大堆APP上用我的信息新建了账号，绑了银行卡、通过了实名认证，并自己设置了支付密码。
挨个APP检查，发现用我们的手机号码新建了支付宝、苏宁、京东且包含有消费记录，这个操作隐蔽性强，如果我们没发现的话，解冻了银行卡，他们还可以用自己创建的支付账号进行消费。
问题又来了，他们用我的手机号新建的账号我们可以挨个试出来，但用其他手机号新建的账号我们猜不到，比如云闪付、财付通、苏宁金融，这几个从银行流水里查到有转账消费记录，但我们没找到对应的账号。
再回到上面有疑惑的几个问题上：
要在支付宝上查看我绑定的银行卡信息或者绑新的卡，需要支付密码而支付密码的重置，需要短信+一张银行卡信息的验证；
一开始整个环节的起点，都需要我的身份证号码，起初我判断是通过社工库，但这一番操作分析下来，整个黑产团队的手法，基本都是利用的各个银行、支付公司的正常业务流程来处理的，那么身份证的获取大概率也不会采用社工库去查询；
部分支付APP新建账号后的实名认证，需要活体人脸验证，这个如果可以从手机自拍照或者华为云里之前存过的照片，用技术处理手段处理照片绕过人脸识别（参考2020年的新闻《利用照片伪造动画头像“骗过”支付宝人脸识别，一犯罪团伙薅支付宝“羊毛”超4万元》）?
总结下来就是，需要有一个地方，通过手机号码和接收到的短信验证码，能获取到姓名、身份证号码、以及一张银行卡的卡号。
感觉这几天自己都有点病态了，遇到这种盗刷的倒霉事，不愤怒、不沮丧、不慌乱，而是出奇的亢奋，几天下来没睡几个小时，不停的研究和分析，快把对方的运作模式研究出来了，把IT男追根刨底的特质发挥的淋漓尽致。
来，继续冷静分析，手头能跟犯罪分子行为步骤关联最紧密的就是电信营业厅获取的短信和电话记录了。翻出短信记录，除了第一条犯罪分子发给自己手机号的记录，紧接着就是收到两条12333社保局的短信。最开始两天都没注意到，以为是老婆公司给缴纳的社保的通知短信，但再仔细分析就发现不对劲了。
一是短信发送时间可疑，非工作时间内发送社保缴纳通知是不正常的，连发两条也是不正常的，那突破点就是它了，社保系统里肯定是有身份证信息。
打开四川省人社厅的网站，看到一个四川人社的APP下载二维码，下载打开APP的瞬间就明白了，“快捷登录”、“短信验证码”、“电子社保卡” ?这几个关键字明晃晃的扎我眼。

本文插图
发送短信验证码，登录进去。点开 “电子社保卡” ，发现需要社保密码，继续忘记社保密码，短信验证码重置社保密码，这一切刚好是两条12333的短信验证码，随后展示在眼前的内容，直接解释了上面三条疑惑。
身份证信息、证件照片、社保金融卡的银行卡信息，有了这些东西，干啥都一路畅通了。
再返回去之前的支付宝绑卡流程， “无需手动输入卡号，快速绑卡” ，几年没用绑卡功能，现在都这么高端了。