二次放号：短信验证中被忽视的风险

电话号码给人一种永久的感觉。我们把它印在名片上，交给银行，用它登录几乎一切。可对运营商来说，号码只是库存。当用户停止缴费、换套餐却没携号，或干脆让预付费卡过期，号码就会被注销，冷冻一段时间后再分配给新的人。

美国联邦通信委员会（FCC）估计，仅在美国，每年就有约 3500 万个号码被注销并重新进入可分配状态。其中大多数都曾是某人账号的登录名、找回渠道或第二验证因素。

普林斯顿的研究人员发现了什么

2021 年，普林斯顿大学信息技术政策中心的 Kevin Lee 和 Arvind Narayanan 决定直接测量这个问题。他们抽取了美国两大运营商 T-Mobile 和 Verizon 向新用户提供的 259 个号码，检查这些号码还能打开什么。

• ·259 个号码中有 171 个——约三分之二——仍与热门网站上的现有账号绑定，包括 Amazon、AOL、Facebook、Google、PayPal 和 Yahoo。新机主一旦收到重置密码的短信，就有可能接管这些账号。
• ·有 100 个号码出现在公开泄露数据中，旁边就是泄露的登录凭据——也就是说，攻击者与账号之间只隔着一条短信。
• ·许多号码还能在人员搜索网站上查到前任机主的个人信息。

研究人员还发现，运营商的在线换号页面允许任何人浏览大量可用号码，让攻击者很容易专门挑出回收号码。两家运营商在接到通报后都做了调整；作者把运营商的回应与研究一并公开。

问题的核心很简单：服务方把“能在这个号码上收到短信”当作身份证明，运营商却把号码当作可重复使用的资源。两种假设一碰撞，今天持有号码的人，就继承了昨天附着在它上面的全部信任。

监管机构做了什么

FCC 的主要应对针对的是另一个问题：打给号码新主人的骚扰电话。2018 年 12 月，它下令建立“重新分配号码数据库”（Reassigned Numbers Database），并于 2021 年上线。运营商上报永久注销的号码，企业在致电或发短信前，可以查询某个号码自某日起是否被注销过。同一项决定还规定，注销的号码至少要“冷冻”45 天才能重新分配。

这有助于企业不再打扰陌生人，却对仍登记着旧号码的账号毫无作用。实际上，更新这些账号的责任落在账号主人身上。

换号时如何保护自己

这对租用的虚拟号码意味着什么

一篇诚实谈论二次放号的文章，必须把同样的逻辑用在租用号码上，因为它们天生就是循环使用的。你为一次验证租用的号码，在激活期间只归你；之后它可能被其他人、其他服务再次使用。这正是它便宜、用完即弃的原因——也正因如此，它绝不该成为你重视的账号的长期找回渠道。

• ·合适的用法：在不交出个人号码的情况下完成注册；通讯应用、社交网络、电商平台、免费试用和测试账号——号码只在验证那一刻才重要。
• ·不合适的用法：银行、支付、政务服务，以及任何唯一找回方式是发往该号码短信的账号。这些账号值得用一个五年后仍属于你的号码。
• ·验证完成后立即：添加找回邮箱，开启基于应用的两步验证；如果服务允许，不要让租用号码成为唯一的回归途径。

这样使用时，租用号码反而是对抗二次放号问题的防线，而不是问题本身。你的真实号码——有一天它自己也可能被注销、再出售——根本不会进入几十个数据库。

常见问题