大多数人不会在分享电话号码时多想，但仔细想想，你的电话号码对想要对你下手的人来说，是一个很好的切入点。你用它来办理银行业务、接收 两步验证 的验证码，甚至用来登录社交媒体。
如果你想知道有人能用你的电话号码做什么，答案有层次可谈。它确实为攻击者打开了一扇门，但只要你采取了防护措施，就不至于太危险。
仅凭电话号码，攻击者无法直接控制你的设备。但如果他们把它与数据库泄露中的其他信息或公开记录结合起来，风险就会增加。他们可以将电话号码用作网络钓鱼或账户接管计划的一部分，在最坏的情况下，甚至可能导致身份盗窃。
要点速览：
- 单独的电话号码不能直接攻破你的设备。
- 骗子利用电话号码进行网络钓鱼、冒充和账户重置尝试。
- 最严重的风险是 SIM 号劫持，它会让登录验证码被截获。
- 当你的号码与其他泄露的个人数据结合时，风险会增加。
- 意外的服务中断或登录提醒可能是危险信号。
- 强认证和运营商端的保护可以显著降低风险。
骗子能用你的电话号码做哪些事？
获取到你电话号码的骗子可以发起 短信钓鱼、伪造来电显示（来电显示欺骗）并尝试重置你账户的密码。在许多情况下，你的手机号只是骗子更大欺诈计划中的一个环节。值得注意的是，这些攻击都不需要物理接触你的设备——仅凭号码就足以发动一些初步攻击。
骗子常用的策略有几种，其中最常见的是短信钓鱼。这类攻击通过短信发送钓鱼信息，冒充你经常打交道的公司，例如银行、快递或政府机构。消息通常包含指向带有表单的网页链接，要求你填写个人信息，或诱导你拨打假的客服热线。这些短信看起来像官方来源发出，因此很多人在没多想的情况下就会上当。
在某些情况下，骗子会利用你的号码触发密码重置。很多在线服务在用户申请重置时，会通过短信发送一次性验证码。如果发生这种情况，而攻击者已知你的电子邮箱地址，他们就可以发起重置请求，然后尝试截获验证码或用社工手法从你那里套取。
仅凭号码，骗子能访问你的账户吗？
通常单独的电话号码并不足以直接访问你的账户。要想成功，攻击者通常还需要至少一项额外信息，例如你的邮箱地址或泄露的密码。
主要的薄弱环节在于密码重置流程。如果你注册的服务仅使用基于短信的验证作为唯一恢复选项，并且攻击者能够接收你的短信消息，他们就能访问你的账户。这通常需要攻击者通过 SIM 号劫持 或者在你的设备上安装 恶意软件 来获取消息。
许多公司已经逐步放弃将短信用作敏感操作的第二因素，因为这类劫持事件发生得很频繁。已有多起高调的账户被接管案例，受害者包括数字货币持有者、记者等。
骗子能冒充你或针对你的联系人吗？
能。伪造来电显示（来电显示欺骗）可以让攻击者拨打电话或发送短信，看起来像是从你的号码发出。随着 AI 技术的发展，这类冒充变得更普遍、更容易实现。这些工具获取方便、成本低廉、操作简单。
一旦垃圾信息发送者伪造了你的号码，他们就能打电话给你的联系人并要求紧急汇款、发送假付款链接或索要验证码。很容易理解为什么这些攻击会成功：联系人在屏幕上看到熟悉的名字，往往会信以为真并按要求操作。
当你发现有人在伪造你的号码时，应立即告知你的联系人。使用你能控制的渠道（例如从你的设备发送群发消息或发电子邮件），并向你的运营商报告该事件。
你的号码会被用于身份盗窃吗？
单独的电话号码不足以构成 身份盗窃。问题在于，当它与其他 可识别个人信息（PII）（例如全名、出生日期或社会保障号）结合时，风险就会增加。攻击者只要掌握两项或更多数据点，就可能尝试以你的名义申请信用卡、提交虚假报税申报或访问你的金融账户。
对终端用户来说，难点在于判断自己的信息已经被公开到何种程度。常有大规模数据泄露事件，数以百万计的电话号码连同客户姓名、地址和账户详情一起外泄。
这些记录可能出现在 暗网 市场，攻击者可以购买整套数据库。因此，很多公司会把电话号码视为敏感数据；一旦与其他个人信息结合，电话号码的重要性和风险都会大幅上升。而且，在多数情况下，这类暴露并不是你个人操作不当造成的。
骗子最初如何获取你的电话号码？
骗子通过数据泄露、人肉搜索网站、钓鱼表单，以及能检测到活跃线路的自动拨号系统获取电话号码。请记住，从你的号码被泄露到你注意到可疑活动之间，往往会有很长一段时间，甚至几年。
如果你在想骗子如何得到你的号码，几乎总是来自上述这些来源之一。
骗子获取电话号码的另一个途径是公开记录。法庭文件、选民登记和产权记录经常包含电话号码，并且在许多司法辖区内可以在网上自由查阅。填写保修登记卡或加入商家会员计划也会把你的号码输入到营销数据库，而这些数据库后来可能被泄露或转售。
数据泄露和数据经纪人在其中扮演什么角色？
数据泄露是电话号码外泄的最大来源，而数据经纪人则通过将泄露的信息整理并广泛分发，加剧了问题。
当公司遭遇数据泄露时，客户记录常常在几天内出现在暗网论坛和市场上。攻击者随后会将这些记录与现有数据库交叉比对，逐步拼凑出更完整的个人画像。
像 Whitepages、Spokeo 和 BeenVerified 这样的数据经纪人，通过聚合公开和商业数据并建立可搜索数据库，使数据泄露的问题雪上加霜。支付少量费用后，任何人都可以查到某个电话号码背后的姓名、地址和其他个人信息。虽然可以尝试把自己的信息从这些网站移除，但通常需要向每家经纪公司逐一发送退订请求。
如何判断你的电话号码是否被泄露？
当你突然失去移动服务或收到你未申请的密码重置短信时，可能表明你的号码已被泄露。其他迹象还包括你未发起但收到的账户变更通知，或联系人报告收到来自你号码的可疑信息。
注意在短时间内出现的一系列异常事件。一次垃圾电话并不值得过度担忧。真正的危险信号是设备和 SIM 卡都未受物理损坏却完全失去信号，同时伴随你未触发的登录提醒或验证请求。这种模式通常指向一次 SIM 号劫持。
如果发现任何可疑情况，先快速检查你的运营商账户是否有未经授权的修改。用另一部电话拨打，或亲自到营业厅询问。然后登录你的电子邮箱、银行和社交媒体账户，检查是否有你未做出的更改。
什么是 SIM 号劫持，为何它构成最大威胁？
SIM 号劫持是一种攻击，骗子成功说服你的移动运营商将你的电话号码转移到由他们控制的 SIM 卡上。这样，骗子就能截获发送到你号码的所有来电和短信。它是基于电话号码的最严重威胁，因为它可以完全绕过以短信为基础的两步验证安全机制。
一旦 SIM 号劫持成功，攻击者就能接收发送到你手机的所有短信验证码。想象一下可能发生的情况：用于电子邮件和银行的一次性密码、数字货币交易所的验证、社交媒体登录等都可能被截获。
如果你的邮箱被攻破，情况会迅速恶化，攻击者可以发起数十个其他服务的密码重置。为帮助用户，FCC 关于 SIM 号劫持诈骗的指南 介绍了运营商层面的防护与报告步骤，以及如何识别此类攻击和需要留意的迹象。
SIM 号劫持是如何运作的？
要使 SIM 号劫持成功，攻击者首先会收集目标的个人信息，然后冒充你联系运营商，要求转移你的号码。
攻击者会收集姓名、地址、账户编号、社会保障号的后四位等信息，这些通常来自过往的数据泄露或社交媒体资料。随后，攻击者通过运营商的在线门户或客服热线发起 SIM 转移请求。因为他们掌握了你的信息，通常能顺利通过核验并完成转移。
在某些案例中，攻击者会贿赂或通过社交工程直接说服运营商员工。另一种变体称为“号码转出欺诈”，流程类似，但将号码转移到另一个运营商名下。
骗子偏好进行 SIM 号劫持，因为任何能重新路由短信的攻击，都会瞬间绕过依赖短信验证码的所有账户的安全保护。
如果有人知道我的电话号码，我应该担心吗？
如果有人掌握了你的电话号码，不必立即慌张。你可能会收到垃圾来电或偶尔的钓鱼短信，但这本身并不意味着你的账户或身份已经受到威胁。
当你用于邮箱、银行或其他账户恢复的方式是基于短信时，风险会更高。如果你的电话号码与其他个人数据在一次泄露中一并外泄，风险会进一步上升。当号码持有者已掌握你的邮箱和泄露密码时，他们比仅仅在社交媒体上找到你号码的人更具威胁性。
普通骚扰和严重威胁有什么区别？
普通骚扰通常是群发的垃圾呼叫、电话推销和泛泛的诈骗短信，这类信息发送给成千上万的号码，虽烦人但通常不危险，所需的应对动作仅是屏蔽和举报。
相比之下，严重威胁通常是带有针对性的信息，包含你的真实姓名、银行信息或近期交易细节，表明发送者掌握了不止你的号码。反复出现的密码重置验证码表明有人正积极尝试访问你的账户。在发生 SIM 号劫持时，你的手机可能会突然显示“无服务”。
如果骗子掌握了我的电话号码，我该怎么办？
如果你认为骗子掌握了你的电话号码，必须立即锁定你的运营商账户、修改最重要账户的密码，并升级认证方式。你还应当报告此事件。
这些措施越快越好，因为从 SIM 号劫持到完整账户接管的时间可能短至几分钟。知道在号码被滥用时该怎么做，关键在于速度。
如果你不确定在号码被黑后该怎么做，先从保护你的运营商账户开始。使用另一部电话（座机或家人手机），或亲自到营业厅，要求运营商立即对 SIM 变更和转移请求进行冻结。
在账号安全得到确认后，先检查你的电子邮箱（因为它控制着其他服务的重置），然后是银行账户，最后检查社交媒体。如果你担心自己已成为身份盗窃的受害者，请向三大信用机构（Equifax、Experian、TransUnion）申请信用冻结，并在 IdentityTheft.gov（美国联邦贸易委员会的身份盗窃恢复网站） 提交报告。
提交报告时，尽量详尽记录所有细节。包括截图、时间戳以及与运营商通话时的参考编号，因为之后你可能需要用这些证据来对抗欺诈性收费或说明情况。
如何保护你的运营商账户？
要保护运营商账户，应设置 SIM 的 PIN、创建强且独一无二的账户密码，并启用号码转移保护。
SIM 的 PIN 是在你的 SIM 卡能在新设备上使用前必须输入的代码。你可以在手机设置中或致电客服设置该码。此外，你的运营商在线账户（用于账单管理）也应设置一个与 SIM 解锁码不同的强口令。
最后，大多数运营商提供号码锁定或转出冻结选项，以防止未经授权的转移。你可以在在线账户中启用这些设置。关于移动安全的全面指南，NIST 的 移动设备安全建议 提供了覆盖多数情形的实用框架。
如何保护你的在线账户？
用基于应用或硬件的方式替代基于短信的两步验证。使用像 Google Authenticator、Microsoft Authenticator 或 Authy 这样的认证器应用在你的设备上生成基于时间的一次性验证码，这样可以使你的账户免受 SIM 号劫持攻击的影响。
要进一步保护重要账户，可以使用像 YubiKey 这样的硬件安全密钥。它们要求在登录时实际持有密钥，从而使远程账户接管变得不可能。
重复使用密码也会增加账户风险，因为一旦某个你使用的网站被攻破，攻击者就能利用该密码尝试访问你在其他网站的账户。为降低此风险，请使用密码管理器为每个账户生成并保存唯一密码。
为获得更强的保护，请使用基于应用或硬件的 多因素认证，替代基于短信的方式。这能把验证码绑定到你的设备，而不是手机号码，从而让攻击者更难截获。
如何长期保护你的电话号码？
要长期保护电话号码，目标是减少其暴露渠道并降低其在账户安全中的作用。不幸的是，这不是一次性修复，可能需要你每年多次维护。
首先将你的号码从公开列出的地方移除，包括社交媒体账户和商业目录。你也可能需要从数据经纪网站手动选择退订，或使用像 DeleteMe 这样的服务。
接着列出所有使用电话号码做恢复选项的账户，并将它们迁移到基于应用的认证。
作为额外保护，你可以选择一个用于外卖、零售等注册的备用号码，使用预付费 SIM 或 VoIP 服务。这类号码在被泄露后可以更容易更换。
定期审查你的隐私设置，因为平台默认设置可能在更新后发生变化。曾经设为私密的资料字段可能悄悄变为公开。了解通过电话号码他人能获取哪些信息，有助于你判断哪些细节需要锁定或彻底删除。每季度花十分钟做一次检查，就能避免事后大量清理工作。你也可以考虑使用像 Kaspersky Premium 这样的综合安全解决方案来监测涉及你的个人信息（包括电话号码）的数据泄露。
延伸阅读:
推荐产品:
FAQs
仅凭电话号码有人能追踪我的位置吗？
不能。通过电话号码追踪位置需要接入运营商级别的基础设施，或在你的设备上安装间谍软件。位置追踪通常只限于持有搜查令的执法机构。有些网站声称能通过电话号码追踪位置，但这类站点几乎总是网络钓鱼或诈骗陷阱。
仅凭电话号码有人能访问我的银行账户吗？
单独的电话号码通常不足以访问你的银行账户。不过，如果它与其他个人信息结合，可能被用来实施 SIM 号劫持。那样攻击者就能截获通过短信发送的验证码，从而有可能访问你的账户。
在身份被盗后我应该换号码吗？
不一定。只有在你成为 SIM 号劫持的受害者或遭受骚扰时，改号才有意义。大多数漏洞可以通过保护运营商账户、升级认证方式并冻结信用来解决。你也可以参考 IdentityTheft.gov（美国联邦贸易委员会的身份盗窃恢复网站） 来判断下一步该怎么做。
