印尼SIM卡交換詐騙：攻擊者如何掏空你的銀行和電子錢包

SIM卡交換詐騙是影響印尼手機用戶的最具破壞性的網路攻擊之一。在一次成功的SIM卡交換中，攻擊者奪取了你手機號碼的控制權——隨之而來的是所有依賴簡訊驗證的帳戶。在幾分鐘內，他們可以掏空你的銀行帳戶、清空你的電子錢包，並將你鎖在數位生活之外。

印尼對基於簡訊OTP（一次性密碼）的銀行、電子錢包和政府服務的高度依賴，使其公民特別容易受到攻擊。以下是這種攻擊的完整運作方式以及如何防禦。

SIM卡交換攻擊的運作原理

攻擊鏈

第一步：資訊收集
    ↓
第二步：SIM卡替換
    ↓
第三步：OTP截獲
    ↓
第四步：帳戶接管
    ↓
第五步：資金盜取

第一步：資訊收集

在發起攻擊前，騙子會收集你的個人資料：

所需資訊	取得方式
全名	社群媒體、資料外洩
NIK（KTP號碼）	資料外洩（BPJS、Dukcapil外洩）
手機號碼	社群媒體、名片、資料外洩
母親婚前姓名	社交工程、社群媒體窺探
出生日期	社群媒體、資料外洩
地址	資料外洩、社群媒體
近期交易紀錄	透過偽造銀行電話進行社交工程

印尼大規模的資料外洩事件（詳見我們的NIK/KTP資料外洩指南）意味著這些資訊在暗網市場上唾手可得。

第二步：SIM卡替換

掌握你的個人資訊後，攻擊者前往電信業者——Telkomsel、Indosat Ooredoo Hutchison、XL Axiata或Smartfren——要求補辦SIM卡。他們可能會：

• 到實體門市 ——使用與你身分匹配的偽造KTP
• 致電客服 ——利用你洩露的資料通過身分驗證問題
• 賄賂電信業者員工 ——內部威脅是有據可查的攻擊途徑
• 使用虛假委託書 ——聲稱代你辦理

第三步：OTP截獲

新SIM卡一旦啟用，你的手機立即失去訊號。攻擊者的SIM卡現在接收你所有的簡訊，包括：

• 銀行OTP
• 電子錢包驗證碼
• 電子郵件密碼重設碼
• LINE/WhatsApp驗證碼
• 政府服務OTP

第四步：帳戶接管

攻擊者迅速逐一攻破你的帳戶：

1. 使用簡訊OTP重設你的行動銀行密碼
2. 登入你的GoPay、OVO和DANA帳戶
3. 透過簡訊重設密碼接管你的電子信箱
4. 存取任何與你手機號綁定的帳戶

第五步：資金盜取

目標	方式	速度
銀行帳戶	轉帳到人頭帳戶	幾分鐘
GoPay	轉帳或購物	幾分鐘
OVO	轉帳到銀行或購物	幾分鐘
DANA	轉帳到關聯帳戶	幾分鐘
Tokopedia餘額	購買並轉售商品	幾小時
加密貨幣交易所	提款到外部錢包	幾分鐘

整個過程——從SIM卡啟用到帳戶清空——可能不到30分鐘。

SIM卡交換正在進行的警告信號

儘早發現攻擊至關重要。注意以下信號：

警告信號	含義	需要採取的行動
手機訊號突然消失	你的SIM卡已被停用	用另一部手機立即聯繫電信業者
「無服務」或「僅限緊急通話」	新SIM卡已在你的號碼上啟用	攜帶KTP衝到電信業者門市
收到關於SIM卡變更的意外簡訊	電信業者可能在交換前傳送通知	立即撥打電信業者熱線
無法撥打電話或傳簡訊	你的SIM卡已不再啟用	這是緊急情況——幾分鐘內採取行動
收到你未發起的交易的銀行通知	攻擊者已在盜取資金	致電銀行凍結帳戶

當你的手機突然失去訊號且2-3分鐘內未恢復時，請將其視為潛在的SIM卡交換攻擊。 不要等待。

如何保護自己

電信業者層面的保護

操作	Telkomsel	Indosat	XL Axiata
為SIM卡變更註冊生物辨識	前往GraPARI	前往Gerai Indosat	前往XL Center
設定SIM鎖PIN碼	撥打188	撥打185	撥打817
要求SIM卡變更通知	App內或客服	App內或客服	App內或客服
驗證你的註冊資訊是否最新	MyTelkomsel App	myIM3 App	myXL App

銀行和金融保護

1. 啟用App認證 替代簡訊OTP（如有）
2. 設定交易限額 ——限制每日轉帳金額以減少潛在損失
3. 啟用推播通知 ——為所有交易開啟，不僅僅是簡訊
4. 使用不同的聯絡電話 ——考慮為銀行和金融服務使用單獨的號碼
5. 啟用生物辨識登入 ——用於銀行和電子錢包App
6. 註冊回電驗證 ——部分銀行在大額轉帳前提供電話驗證

數位衛生

• 減少個人資料的線上暴露 ——避免公開發布手機號、生日和母親姓名
• 使用App 2FA（Google Authenticator、Authy）替代簡訊驗證（如支援）
• 關注手機訊號 ——注意意外的訊號中斷
• 用App 2FA保護電子信箱（而非簡訊），因為電子信箱是大多數帳戶的復原管道
• 定期檢查 與你手機號綁定的帳戶

如果你已成為SIM卡交換的受害者

前5分鐘

1. 用另一部手機聯繫電信業者 ——要求立即停用SIM卡
2. 攜帶原始KTP前往最近的電信業者門市
3. 致電銀行 ——要求全面凍結帳戶

第一小時內

4. 使用你信任的裝置更改密碼 ——更改所有關鍵帳戶的密碼
5. 撤銷使用中的工作階段 ——電子信箱、銀行和社群媒體
6. 凍結電子錢包帳戶 ——聯繫GoPay（透過Gojek App）、OVO（1500696）、DANA（透過App）
7. 通知親密聯絡人 你的號碼可能已被盜用

24小時內

8. 報警 ——攜帶未授權交易的證據前往當地警局
9. 向印尼央行檢舉 ——撥打131或造訪bi.go.id
10. 向OJK檢舉 ——撥打157處理金融服務投訴
11. 記錄所有損失 ——截圖保存交易紀錄
12. 聯繫銀行詐騙部門 啟動爭議處理

安全共享帳戶復原資訊

遭受SIM卡交換攻擊後，你經常需要與家人協調——分享臨時密碼、銀行參考號或警方報案資訊。在高壓情況下，資訊往往被草率地透過可能被截獲的訊息分享。

LOCK.PUB 提供了一種透過密碼保護的、有時效的連結來分享敏感復原資訊的方式。當你與銀行、律師或家人就事件進行協調時，可以分享案件編號、臨時憑證和財務詳情，而不必將它們暴露在聊天紀錄中。

系統性問題

SIM卡交換詐騙在印尼得逞，源於多個因素的疊加：

1. 大規模資料外洩 使個人驗證資料廣泛可得
2. 過度依賴簡訊OTP 進行金融認證
3. 電信業者門市身分驗證不一致
4. SIM卡被詐騙性授權時，電信業者承擔的責任有限

在電信業者實施更強的生物辨識驗證和銀行擺脫簡訊OTP之前，保護的責任落在個人身上，需要自行添加防護層。

5分鐘安全檢查

現在就做：

1. 開啟你的電信業者App——你的註冊資訊是最新的嗎？
2. 檢查銀行App——App 2FA已啟用了嗎？
3. 查看電子信箱——信箱已用App 2FA（而非簡訊）保護了嗎？
4. 設定交易提醒——所有帳戶都已啟用推播通知了嗎？
5. 使用 LOCK.PUB——你在安全地分享敏感資訊嗎？

SIM卡交換攻擊可以在幾分鐘內清空你多年的積蓄。這五個步驟花費的時間不到泡一杯咖啡，但它們可以保住你帳戶裡的一切。