打击“呼死你”非法骚扰，“短信轰炸”黑产怎么治？

近日，广西来宾市公安局网安支队联合武宣警方，经过近两个月的奋战，成功破获广西首例“短信轰炸”案件。

今年6月，来宾市公安局网安支队接到举报，有人在互联网上搭建网站开展短信轰炸、游戏外挂等黑产违法犯罪行为。针对相关线索，在腾讯守护者计划安全团队的协助下，来宾市公安局网安支队通过调查，最终锁定犯罪嫌疑人并实施抓捕行动。

经审讯，犯罪嫌疑人卓某健交待通过代理短信轰炸(又称“呼死你”)等非法服务，并以发展下线转包服务的形式从中赚取差价牟利，到被公安机关查获时，卓某健发展的下级代理人员已超过450人，其中仅河南开封市的一个代理就购买服务并实施了短信轰炸500多万条。

“呼死你”短信轰炸作为一种非法的恶性骚扰行为，近年来严重侵害了用户个人权益，也对部分企业造成不良影响。由于黑产团伙隐蔽性强且产业链分散，短信轰炸案件破获难度较大。

作为此次案件侦破的线索提供方，腾讯公司13日联合广西警方在京召开“‘呼死你’短信轰炸黑产治理媒体沟通会”，现场公布案情细节，披露短信轰炸黑产数据，呼吁社会各界共同关注短信轰炸黑产治理。

“呼死你”是不法分子利用轰炸软件，让目标用户手机短时间接收到大量的验证短信，有甚者1分钟内可以向目标用户手机号发送上千条骚扰短信，持续以高密度短信发送形成“轰炸”效果，严重干扰了用户手机正常的使用。

相关数据显示，短信轰炸黑产目前危害涉及超2000个网站的3500多个验证码接口和2400短信接口，每天全网发生的轰炸短信多达160万+次。

而短信轰炸链条中，普通用户只是受害者之一，被利用下发验证短信的企业也常常因此遭受企业利益损失和品牌信任危机。

腾讯安全天御风控专家杨红介绍道，实现“呼死你”的原理，是非法轰炸软件，通过爬虫手段搜集大量正常企业网站的发送短信接口(CGI接口)，集成到轰炸网站或者轰炸软件上，通过短时间访问大量网站，以正常申请短信息验证服务的方式，将验证短信通过运营商的接口发送到目标用户的手机上。验证码短信本身可能并没有潜在危害，但当同时数百上千条短信持续不断地涌入同一部手机，轰炸式的骚扰导致用户无法正常使用手机，严重侵犯了用户权益。

杨红建议，企业在服务端防控方面可以通过号码认证替换短信验证码，以上行验证方式规避下行验证的风险，用户登陆时可一键验证本机号码，无需通过接受验证码做验证，首先在源头上规避被短信轰炸软件利用的风险。其次，部分特殊情况下，用户依然需要验证码登录时，企业可以通过“图形验证码”来对登录行为进行安全验证，过滤掉来自短信轰炸软件的机器批量请求。

无论是企业侧的网站防护机制建立、用户侧的规避遏制，或警方打击犯罪分子，“呼死你”短信轰炸黑产的治理并非单方面能够解决，携手综治成为会议探讨的焦点。

沟通会现场，广西来宾市公安局网安支队代表、腾讯安全团队，以及现场媒体发起共同号召，呼吁短信验证服务相关企业、上下游服务商等社会各界关注短信轰炸黑产治理问题，携手维护良好的互联网环境。