短信2FA安全吗？SilentAir攻击说明了什么

短信验证码安全吗？

短信2FA比只用密码更好，但它是常见第二重验证中最薄弱的一种，因为短信要经过可能遭到攻击的电话网络 ^[2][3][4]。

2FA（2FA）是指登录时除了密码，还需要别的东西，例如一次性验证码。当验证码通过短信（SMS）送达时，任何能转移或读取你短信的人都能拿到验证码。

美国网络安全与基础设施安全局（CISA）在为高风险目标人群撰写的指南中明确表示：“不要把短信用作身份验证的第二重因素” ^[2]。理由是：短信未经加密，能进入电信运营商网络的攻击者可以读取，而且短信无法抵御网络钓鱼 ^[2]。

美国国家标准与技术研究院（NIST）把通过公共电话网络发送的验证码（即短信或语音）列为唯一的“受限”验证器，机构必须先接受额外风险并提供替代方案，才可使用 ^[4]。

对大多数人来说，务实的做法是：宁可保留短信验证，也不要完全没有2FA，因为CISA表示任何形式的多重身份验证都好过没有 ^[3]；但重要账号应换成更强的方式。Pouyam指南《Two-Factor Authentication Explained: Which 2FA Method Is Safest?》对所有选项做了比较。

SilentAir是什么？

SilentAir是电信安全公司Enea给一个新发现的攻击者起的名字，Enea称它通过被攻破的移动网络组件攻击手机用户 ^[1][5]。

Enea于2026年11月11日（12日更新）发布了调查结果，这份报告同时涉及另一个单独追踪的组织LIMINAL PANDA ^[1]。要点如下，均出自Enea ^[1]：

• Enea自2025年初起一直在追踪来自部分亚洲移动运营商的异常信令攻击，更早之前就已发现可疑活动。
• 它在至少六个亚洲国家的移动运营商中发现了与SilentAir相关的网络节点，另有一些疑似但未确认。
• 攻击从这些节点出发，针对另外十几个国家和地区的移动运营商和用户，其中台湾是主要目标。
• 部分目标是政治和政府领域的重要人物。
• Enea高度确信，SilentAir是国家级攻击者，而不是犯罪团伙或商业监控公司。

至于幕后是谁，Enea的措辞很谨慎：它以低度信心评估，SilentAir的活动与涉及中国的网络行动相吻合，依据是其聚焦台湾、没有以中国为目标，以及攻击时间与UTC+8的工作日一致 ^[1]。Enea表示，它与LIMINAL PANDA可能有关联，但尚未确认 ^[1]。SecurityWeek对这项研究的报道也描述了同样的评估 ^[5]。

短信验证码是怎样被截获的？

Enea称，SilentAir通过SS7和Diameter信令系统发送恶意的位置更新消息，使目标的来电和短信被路由到攻击者控制的节点 ^[1][5]。

移动运营商之间要交换信令消息，手机才能漫游，并在任何地方收到电话和短信。Enea解释说，较老的网络使用SS7（2G和3G），4G使用Diameter，5G则使用基于HTTP/2的协议 ^[1]。Enea称，运营商之间的信任对全球漫游至关重要，但也是对攻击者颇具吸引力的环境 ^[1]。

据Enea介绍 ^[1]：

• SilentAir使用SS7 UpdateLocation和Diameter Update-Location-Request等命令更改目标登记的位置，从而截获之后相关的短信和通话。
• 对部分目标，Enea观察到2FA验证码在截获时刻之后被直接接收。
• 攻击来自被感染运营商内部被攻破的网络节点，而不是外部的伪造。
• SilentAir大规模使用静默短信，即不会显示在手机上、也不产生提示的短信。午夜前后活动激增，流量大部分指向台湾用户。Enea称，白天的消息多发给其他网络的用户，似乎是在测试之前的截获是否生效，而夜间流量的目的尚未确认。

这类攻击发生在电话网络内部。据Enea称，攻击来自运营商网络内部被攻破的节点，而不是你的手机，所以个人的实际防御办法，是在重要登录上不再依赖短信 ^[2]。

哪种2FA方式最安全？

基于FIDO标准、可抵御钓鱼的方式（如安全密钥和通行密钥）最强；身份验证器应用次之；短信和语音验证码最弱 ^[2][3]。

CISA把抗钓鱼的多重身份验证称为“黄金标准”，并把FIDO/WebAuthn验证列入抗钓鱼选项 ^[3]。其情况说明指出，SS7和SIM卡劫持攻击对抗钓鱼的多重身份验证和基于应用的一次性验证码不适用，而短信和语音属于最弱的一类 ^[3]。

CISA的移动设备指南补充了更多细节 ^[2]：

• FIDO硬件安全密钥最有效；FIDO通行密钥是可接受的替代方案。
• 身份验证器应用的验证码比短信好，但仍可能被钓鱼。
• 只有FIDO验证能抵御钓鱼。

FIDO联盟把通行密钥描述为基于FIDO的凭据，存放在你的手机、电脑或硬件安全密钥上，解锁方式与解锁设备相同，例如指纹或PIN码 ^[6]。NIST解释说，手动输入的验证码（无论来自短信还是应用）不能抵御钓鱼，因为假网站可以把它转交给真网站 ^[4]。

下表概括了主要选项。

如何从短信验证切换到更安全的方式？

先给最重要的账号添加通行密钥或安全密钥，其他账号再用身份验证器应用，最后在可能的地方关闭短信 ^[2]。

1. 列出关键账号。CISA建议盘点有价值的账号，包括邮箱和社交媒体，并为每个账号启用基于FIDO的验证，尤其是Microsoft、Apple和Google账号 ^[2]。邮箱最重要，因为它可以重置其他密码。
2. 添加通行密钥或安全密钥。在每个账号的安全设置中，查找通行密钥、安全密钥或“2-step verification”（两步验证，即2FA）。FIDO联盟表示，所有主流操作系统和浏览器都支持通行密钥 ^[6]。
3. 不提供通行密钥的地方，使用身份验证器应用。CISA为价值较低的账号推荐Google Authenticator、Microsoft Authenticator和Authy等免费应用 ^[2]。
4. 之后关闭短信。CISA警告说，启用应用并不会自动移除短信，这会留下“薄弱、可被利用的备用方式” ^[2]。
5. 离线保存恢复码，放在安全的地方，这样丢了手机也不会被锁在账号之外。
6. 使用密码管理器，让密码既长又唯一；CISA也这样建议 ^[2]。

CISA指出，有些服务在账号恢复时仍可能回退到短信，所以未必能在所有地方彻底移除短信 ^[2]。关于通行密钥的原理，请参阅Pouyam指南《What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer》。

谁最容易遭到短信截获？

在Enea的调查结果中，SilentAir瞄准了部分政治和政府要员，其攻击规模从单个用户或少数用户，到一个月内数千名用户不等 ^[1]。

Enea称，攻击是成批出现的，间隔最长可达数月甚至更久，且位于不同国家、不同被感染网络中的SilentAir节点会协同针对高价值的要员类目标 ^[1]。Enea称，信令接口上的攻击绝大多数来自监控公司；在其统计中，截获占SilentAir活动的18.30%，而典型监控公司为2.07%，可见SilentAir在截获占比上很突出 ^[1]。

CISA的指南是为担任政府高级职务或政治职务的“高风险”人群撰写的 ^[2]。任何处理敏感信息的人，都有理由格外谨慎。

其他人从摆脱短信中同样受益：CISA称，SIM卡劫持攻击（攻击者说服运营商把你的手机号码控制权转给他）同样会暴露短信验证码 ^[3]。同样的措施可以防范这两种风险。

请记住，截获只是途径之一。大多数账号被盗始于网络钓鱼，Pouyam指南《What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes》对此有详细说明。

移动运营商应该怎么做？

Enea建议运营商同时保护所有互联协议，把漫游互联视为不可信，并监控自己网络内部的信令 ^[1]。

Enea的建议包括 ^[1]：

• 部署GTP-C和GTP-U安全防火墙，并让它们与SS7和Diameter防火墙共享信息。
• 超越基本的行业建议；Enea称这些建议应是信令安全的起点，而不是终点。
• 把运营商之间的IPX接口视为不可信，对跨协议的流量做更深入的分析和防火墙过滤。
• 不仅在网络边缘，也在网络内部分析信令协议。

Enea称，它已告知被SilentAir感染的运营商其网络中的恶意信令来源，并相信该组织的活动足迹已受到影响 ^[1]。它还警告说，其他任何攻击者也可能使用同样的手法 ^[1]。

这些是运营商层面的修复措施，个人用户既看不到也无法控制，这又是选择不依赖电话网络的登录方式的一个理由。

短信验证码会消失吗？

不会马上消失：NIST仍允许把短信作为受限选项，但安全机构正引导人们转向通行密钥和其他抗钓鱼方式 ^[2][4]。

NIST表示，可能会随着威胁和网络的变化调整电话网络验证的受限状态，并要求使用它的服务方至少提供一种替代方案和迁移计划 ^[4]。CISA已经在告诉高风险人群，要从基于短信的多重身份验证迁移出去 ^[2]。

FIDO联盟称，通行密钥可以取代“密码加短信验证码”之类的传统流程，并且所有主流操作系统和浏览器都支持通行密钥 ^[6]。

本指南用于普及一般的安全常识。有关SilentAir的事实来自Enea自己的报告（截至2026年11月13日）；Enea表示，如果它对SilentAir与LIMINAL PANDA之间关联的评估有变，将更新其博客 ^[1]。