短信保管箱何以成了犯罪分子猎物？

前些天，有关工商银行和中国移动的一起用户投诉闹得沸沸扬扬。据说，一用户被黑客遥控开通短信保管箱业务，从而多次从其银行卡上将钱取走，由此引来各方面的关注。

近日，工商银行发表了声明，认为自己的网银安全可靠没有任何问题，主要问题出在运营商提供的短信保管箱业务被黑客攻破，从而使网银里的钱丢失。至今，有关运营商还未发布调查结果，但有报道说广东的三家运营商已经陆续取消的短信保管箱业务。

很多人也许并不了解所谓的短信保管箱，因为这个业务并不普及，用户也不多。短信保管箱是运营商推出来的替用户保管发送与接受到的短信，当用户的短信丢失或更换手机之后，这些短信依然可以取回。

也许有人会说，运营商替客户保管短信，真是脑子有病。其实，我们可以把这种业务理解为一种初级的云服务，确实有一些客户有需求。以前的用户手机和SIM的存储能力都很小，而短信辉煌时期的用户发送量与接收量都很大，经常造成短信无法存储的情况，一些重要的通知和事项也许会遗漏造成损失。至今，一些功能机用户也还有这样的需求，只是因为短信日渐离开我们的视野，每个人的使用量都在大幅减少，短信保管箱的实际用途越来越小。

因为涉及到用户的隐私，所以这个短信保管箱业务需要用户的主动申请才能开通，客户也可以随时取消。当然，按照运营商此前发展业务的模式，开通这个业务的用户需要每月支付一定的使用费用。

虽说现在老百姓使用短信的次数越来越少，可是作为沟通商家与用户之间的纽带，特别是作为互联网上账户注册与网上支付的验证手段，短信还是必不可少。我们都有这样的经历，当你在网络上注册了一个账户，网站往往会给用户发一个短信验证码，只有当用户用自己的手机接收到验证码并输入到网站验证码栏目进行验证之后才是注册成功。在网上银行进行支付的时候，银行也会给用户预留的银行的手机号发验证码，以此保证是客户本人在使用网上银行。可以说，短信对于网络安全起到了关键的作用。

短信业务是电信运营商的核心业务之一，电信级的安全防护水平非常高，如果不是有用户的手机在手，基本不可能有机会获取到由电信运营商处下发的短信验证码。但是，相比短信，短信保管箱业务却是互联网级的应用，属于一种云存储服务，更容易受到黑客的攻击，也更容易攻击得手。

我们试想一个场景，当网站通过电信运营商的网络下发短信给用户的时候，用户收到短信验证码的同时，短信保管箱里也存了一份。犯罪分子在不用拿到用户手机的情况下，只要掌握了用户的手机号码并攻破短信保管箱的数据库，那就轻而易举的可以获得验证码，从而进行网站上的一切操作，后果极其严重。

当然，本次事件的最后调查结论还未得出，我们也还不能将责任都推给短信保管箱，但短信保管箱业务本身可能面临的风险却是实实在在存在的。可以说，在这个推出的时候，运营商就应该预见到这样的风险，对其的安全防护应该是极高的重视，以保证万全。

不过，即便用上任何的手段，在互联网时代也不能保证百分之百的安全。俗话说，不怕贼偷，就怕贼惦记，道高一尺，魔高一丈，任何防守严密的堡垒也都有被攻破的可能。这就需要相关运营企业能够在技术手段之上还要有严密的管理措施，至少能保证不出现连锁反应和持续漏洞。比如，即便提供这种短信保管箱服务，在用户开通和关闭方面制定更为严格的审核流程，或者对关闭与开通进行非对称的管理，或者要求关闭业务可远程办理而开通此业务必须本人到营业厅办理，以保护安全为第一要务，必要的时候可以牺牲用户办理的便捷性。

短信保管箱本身是一个便民利民的好业务，也是运营商当时尝试提供云存储服务的探索，和现在流行的号码簿存储的原理其实一样，只是因为短信使用的场景特殊而具有了敏感的属性，最有可能成为犯罪分子攻击的对象。短信保管箱没有错，错的本质在犯罪分子，我们在分析业务问题的时候，也不可忽略了问题的核心所在，保护网络业务安全人人有责，而犯罪分子应该人人喊打，不可被忽略。

【每日一文，坚持十年，欢迎业界读者沟通交流，请微博 @马继华 或加微信公众号“北国骑士”】

生成海报

免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。