印尼SIM卡交换诈骗：攻击者如何掏空你的银行和电子钱包

SIM卡交换诈骗是影响印尼手机用户的最具破坏性的网络攻击之一。在一次成功的SIM卡交换中，攻击者夺取了你手机号码的控制权——随之而来的是所有依赖短信验证的账户。在几分钟内，他们可以掏空你的银行账户、清空你的电子钱包，并将你锁在数字生活之外。

印尼对基于短信OTP（一次性密码）的银行、电子钱包和政府服务的高度依赖，使其公民特别容易受到攻击。以下是这种攻击的完整运作方式以及如何防御。

SIM卡交换攻击的工作原理

攻击链

第一步：信息收集
    ↓
第二步：SIM卡替换
    ↓
第三步：OTP截获
    ↓
第四步：账户接管
    ↓
第五步：资金盗取

第一步：信息收集

在发起攻击前，骗子会收集你的个人数据：

所需信息	获取方式
全名	社交媒体、数据泄露
NIK（KTP号码）	数据泄露（BPJS、Dukcapil泄露）
手机号码	社交媒体、名片、数据泄露
母亲婚前姓名	社会工程、社交媒体窥探
出生日期	社交媒体、数据泄露
地址	数据泄露、社交媒体
近期交易记录	通过伪造银行电话进行社会工程

印尼大规模的数据泄露事件（详见我们的NIK/KTP数据泄露指南）意味着这些信息在暗网市场上唾手可得。

第二步：SIM卡替换

掌握你的个人信息后，攻击者前往运营商——Telkomsel、Indosat Ooredoo Hutchison、XL Axiata或Smartfren——请求补办SIM卡。他们可能会：

• 到实体网点 ——使用与你身份匹配的伪造KTP
• 致电客服 ——利用你泄露的数据通过身份验证问题
• 贿赂运营商员工 ——内部威胁是有据可查的攻击途径
• 使用虚假委托书 ——声称代你办理

第三步：OTP截获

新SIM卡一旦激活，你的手机立即失去信号。攻击者的SIM卡现在接收你所有的短信，包括：

• 银行OTP
• 电子钱包验证码
• 邮箱密码重置码
• 微信/WhatsApp验证码
• 政府服务OTP

第四步：账户接管

攻击者迅速逐一攻破你的账户：

1. 使用短信OTP重置你的手机银行密码
2. 登录你的GoPay、OVO和DANA账户
3. 通过短信重置密码接管你的邮箱
4. 访问任何与你手机号绑定的账户

第五步：资金盗取

目标	方式	速度
银行账户	转账到傀儡账户	几分钟
GoPay	转账或购物	几分钟
OVO	转账到银行或购物	几分钟
DANA	转账到关联账户	几分钟
Tokopedia余额	购买并转售商品	几小时
加密货币交易所	提现到外部钱包	几分钟

整个过程——从SIM卡激活到账户清空——可能不到30分钟。

SIM卡交换正在进行的警告信号

尽早发现攻击至关重要。注意以下信号：

警告信号	含义	需要采取的行动
手机信号突然消失	你的SIM卡已被停用	用另一部手机立即联系运营商
"无服务"或"仅限紧急呼叫"	新SIM卡已在你的号码上激活	携带KTP冲到运营商网点
收到关于SIM卡变更的意外短信	运营商可能在交换前发送通知	立即拨打运营商热线
无法拨打电话或发短信	你的SIM卡已不再活跃	这是紧急情况——几分钟内采取行动
收到你未发起的交易的银行通知	攻击者已在盗取资金	致电银行冻结账户

当你的手机突然失去信号且2-3分钟内未恢复时，请将其视为潜在的SIM卡交换攻击。 不要等待。

如何保护自己

运营商层面的保护

操作	Telkomsel	Indosat	XL Axiata
为SIM卡变更注册生物识别	前往GraPARI	前往Gerai Indosat	前往XL Center
设置SIM锁PIN码	拨打188	拨打185	拨打817
请求SIM卡变更通知	App内或客服	App内或客服	App内或客服
验证你的注册信息是否最新	MyTelkomsel App	myIM3 App	myXL App

银行和金融保护

1. 启用App认证 替代短信OTP（如有）
2. 设置交易限额 ——限制每日转账金额以减少潜在损失
3. 启用推送通知 ——为所有交易开启，不仅仅是短信
4. 使用不同的联系电话 ——考虑为银行和金融服务使用单独的号码
5. 启用生物识别登录 ——用于银行和电子钱包App
6. 注册回电验证 ——部分银行在大额转账前提供电话验证

数字卫生

• 减少个人数据的在线暴露 ——避免公开发布手机号、生日和母亲姓名
• 使用App 2FA（Google Authenticator、Authy）替代短信验证（如支持）
• 关注手机信号 ——注意意外的信号中断
• 用App 2FA保护邮箱（而非短信），因为邮箱是大多数账户的恢复渠道
• 定期检查 与你手机号绑定的账户

如果你已成为SIM卡交换的受害者

前5分钟

1. 用另一部手机联系运营商 ——请求立即停用SIM卡
2. 携带原始KTP前往最近的运营商网点
3. 致电银行 ——请求全面冻结账户

第一小时内

4. 使用你信任的设备更改密码 ——更改所有关键账户的密码
5. 撤销活跃会话 ——邮箱、银行和社交媒体
6. 冻结电子钱包账户 ——联系GoPay（通过Gojek App）、OVO（1500696）、DANA（通过App）
7. 通知亲密联系人 你的号码可能已被盗用

24小时内

8. 报警 ——携带未授权交易的证据前往当地警局
9. 向印尼央行举报 ——拨打131或访问bi.go.id
10. 向OJK举报 ——拨打157处理金融服务投诉
11. 记录所有损失 ——截图保存交易记录
12. 联系银行欺诈部门 启动争议处理

安全共享账户恢复信息

遭受SIM卡交换攻击后，你经常需要与家人协调——分享临时密码、银行参考号或警方报案信息。在高压情况下，信息往往被草率地通过可能被截获的消息分享。

LOCK.PUB 提供了一种通过密码保护的、有时效的链接来分享敏感恢复信息的方式。当你与银行、律师或家人就事件进行协调时，可以分享案件编号、临时凭据和财务详情，而不必将它们暴露在聊天记录中。

系统性问题

SIM卡交换诈骗在印尼得逞，源于多个因素的叠加：

1. 大规模数据泄露 使个人验证数据广泛可得
2. 过度依赖短信OTP 进行金融认证
3. 运营商网点身份验证不一致
4. SIM卡被欺诈性授权时，运营商承担的责任有限

在运营商实施更强的生物识别验证和银行摆脱短信OTP之前，保护的责任落在个人身上，需要自行添加防护层。

5分钟安全检查

现在就做：

1. 打开你的运营商App——你的注册信息是最新的吗？
2. 检查银行App——App 2FA已启用了吗？
3. 查看邮箱——邮箱已用App 2FA（而非短信）保护了吗？
4. 设置交易提醒——所有账户都已启用推送通知了吗？
5. 使用 LOCK.PUB——你在安全地分享敏感信息吗？

SIM卡交换攻击可以在几分钟内清空你多年的积蓄。这五个步骤花费的时间不到泡一杯咖啡，但它们可以保住你账户里的一切。