而短信轰炸链条中，普通用户只是受害者之一，被利用下发验证短信的企业也常常因此遭受企业利益损失和品牌信任危机。部分企业网站的短信验证的安全防御能力不足，在被轰炸软件盯上后，企业网站如果不做出有效应对措施，将成为短信轰炸软件的“肉鸡”，频繁发出无意义的验证短信，不仅严重干扰网站正常的用户运营，影响运营判断，还可能因短信骚扰行为让用户对品牌产生信任危机。
安全和体验兼得 验证码护企免遭黑产
腾讯安全天御风控专家杨红通过模拟轰炸软件，现场演示了短信轰炸的过程，只需要输入手机号，该号码所属的手机随后便持续收到各种短信验证码，直至关闭程序才终止了短信轰炸。
杨红介绍道，实现“呼死你”的原理，是非法短信轰炸软件，通过爬虫手段搜集大量正常企业网站的发送短信接口（CGI接口），集成到轰炸网站或者轰炸软件上，通过短时间访问大量网站，以正常申请短信验证服务的方式，将验证短信通过运营商的接口发送到目标用户的手机上。验证短信本身可能并没有潜在危害，但当同时数百上千条短信持续不断地涌入同一部手机，轰炸式的骚扰导致用户无法正常使用手机，严重侵犯了用户权益。
风险防控，从源头开始。解决了企业网站被短信轰炸软件利用的问题，就能够从源头杜绝恶意事件的发生。杨红介绍，团队通过分析被短信轰炸软件利用的网站，发现易遭受侵害的网站往往在短信验证风控方面较为缺失，通常表现为只需输入一个手机号，即可无阻碍成功请求短信验证码，或者安全验证机制容易被破解。在被短信轰炸软件盯上后，网站将成为不断发出骚扰短信的源头，对企业自身影响较大。因此，事前防治的关键是建立有效风控机制。
杨红建议，企业在服务端防控方面可以通过号码认证替换短信验证码，以上行验证方式规避下行验证的风险，用户登录时可一键验证本机号码，无需通过接收验证码做验证，首先在源头上规避被短信轰炸软件利用的风险。其次，部分特殊情况下，用户依然需要验证码登录时，企业可以通过“图形验证码”来对登录行为进行安全验证，过滤掉来自短信轰炸软件的机器批量请求。
在用户登录时，基于腾讯安全天御短信风控的智能大脑，能够毫秒级分辨登录用户是可信用户、可疑用户、恶意用户，并针对性为可信用户免验证提高用户体验，为可疑用户设置图形验证码，以及为恶意用户设置VTT动态语义验证，提供针对性验证提升服务安全性，让好人通过更轻松，机器作恶更困难。
除了风控的主动智能防御外，腾讯安全天御短信风控还能够为企业网站提供短信验证自我防御控制台，能够自主精准限制短信验证码频率，防止突发性短信轰炸问题发生，进一步加强验证码防盗刷能力。通过一整套的智能分级和设备指纹、Pow认证、黑名单库等十项防护能力，以及短信验证自我防御控制台，系统能够助力企业网站实现安全和体验兼得。
一键开启拦截能力 守护用户手机清静
无论是企业侧的网站防护机制建立、用户侧的规避遏制，或警方打击犯罪分子，“呼死你”短信轰炸黑产的治理并非单方面能够解决，携手综治成为会议探讨的焦点。沟通会最后，广西壮族自治区来宾市公安局网安支队代表、腾讯安全团队，以及现场媒体发起共同号召，呼吁短信验证服务相关企业、上下游服务商等社会各界关注短信轰炸黑产治理问题，携手维护良好的互联网环境。
编辑：王宇
审核：岳靓返回搜狐，查看更多