你的手机号码远不只是用来接打电话，它往往还是打开你银行账户、电子邮箱和社交媒体的钥匙。正因如此，每位新加坡居民都应该了解的 SIM 卡盗换诈骗（sim swap fraud），已成为不法分子偏爱的手段。在 SIM 卡盗换攻击中，骗子会诱使你的电信商把你的号码转移到一张由他们控制的 SIM 卡上。一旦掌握了你的号码，他们就能拦截一次性密码（OTP）、重置你的密码并盗空账户，有时只需短短几分钟。
好消息是，SIM 卡盗换并非什么魔法。它依赖于几个可预测的步骤，而每一个步骤都给了你察觉和应对的机会。本文将说明这种骗局如何运作、需要留意的迹象，以及那些能让账户保持安全、又不至于让你每次手机没信号就焦虑不安的冷静而实用的做法。
SIM 卡盗换究竟如何运作
SIM 卡盗换往往在你信号中断之前很久就已经开始。骗子首先会收集足够的个人信息来冒充你，可能包括你的全名、身份证（NRIC）资料、出生日期，或安全问题的答案。这些信息常常来自早前的钓鱼信息、某次数据泄露外流的资料，或社交媒体上的过度分享。此时，这一切都还不需要接触到你的手机。
掌握了这些信息后，骗子便会联系你的电信商，或利用线上转网流程，要求把你的号码转移到一张新 SIM 卡上。如果他们通过了身份核验，电信商就会激活新卡并停用你的旧卡。从那一刻起，你的手机会显示无服务，所有本该发给你的来电和短信都转到了骗子那里。
最后一步就是收割。攻击者会打开你的银行 App、电子邮箱或电子钱包，触发密码重置或一次会通过短信发送 OTP 的登录。由于此刻你的短信都由他们接收，他们便能截获验证码、完成登录并夺取控制权。许多受害者直到看到自己从未进行过的交易，才意识到发生了什么。
关键的一点是：骗子需要两样东西——你的个人资料，以及一次成功的转网请求。你无法总是左右一家公司会泄露什么，但你可以让自己成为更难得手的目标，并在情况不对时迅速反应。
警示迹象与安全做法
最明显的红旗，就是在周围人都还有信号时，你的手机却突然莫名其妙地失去信号。如果你的手机显示「无服务」或「仅限 SOS」，重启也无法解决，就要认真对待，而不要想当然地以为只是网络故障。其他迹象还包括：无法拨打电话或发送短信、收到关于 SIM 卡变更或转网请求的意外通知，或突然被应用程序退出登录。
下表将常见的警示迹象与相应的安全做法一一对应。
| 警示迹象 | 应采取的安全做法 |
|---|---|
| 在他人都有信号时突然失去信号 | 立即通过官方号码或官方 App 联系你的电信商 |
| 收到你从未提出过的 SIM 卡变更信息 | 向电信商举报，并要求冻结任何转网操作 |
| 收到你并未发起的登录的 OTP | 用可信设备更改受影响账户的密码 |
| 无缘无故被退出网银或邮箱 | 换一台设备登录，并启用非短信的双重验证 |
| 收到你从未进行过的密码重置确认邮件 | 再次重置密码，并查看近期账户活动 |
如果你怀疑 SIM 卡盗换正在发生，请立即联系你的电信商。请自行查找官方热线，或使用电信商自家的 App，而不要轻信任何通过信息发给你的号码。请他们保护你的账户，并撤销任何未经授权的转网。然后着手保护最重要的账户，先从你的银行和主邮箱开始，因为邮箱往往是打开其他一切的总钥匙。
在事情发生之前保护好自己
预防远比补救容易，而且大多只需一个下午就能完成。最有价值的一步，是减少对短信进行安全验证的依赖。凡是服务提供选项的地方，都把短信 OTP 换成验证器 App（authenticator app）或实体安全密钥。这些方式都保存在你自己的设备上，不会因号码被转走而受影响，因此即便骗子握有你的 SIM 卡，也依然无法登录。
问问你的电信商还提供哪些额外保护。许多电信商允许你设置转网 PIN 码、口令，或要求在批准任何 SIM 卡变更前进行当面或 App 内核验。启用这些设置，会让别人更难在电话里冒充你。值得拨打官方热线，专门问清楚有哪些账户锁定选项。
守护好那些让冒充成为可能的个人信息。谨慎对待你的身份证号、出生日期或住址，在发布那些可兼作安全答案的细节前也要三思，比如你母亲的婚前姓氏、你的第一所学校或宠物的名字。对要求「核实」你身份的意外来电或信息保持警惕，无论对方听起来多么官方，都绝不要把 OTP、密码、双重验证码、SingPass 凭据或银行信息读给任何人。
最后，养成一个简单的监控习惯。为你的银行和电子钱包开启交易提醒，让任何异常活动能尽快通知到你，最好通过邮件或推送通知，而不要只靠短信。定期查看你的账单。你越早发现未经授权的交易，就越有可能将其拦截或撤销。
如果你已经中招
发现 SIM 卡盗换正在进行确实让人紧张，但一套清晰的行动顺序能把损失降到最低。第一，联系你的电信商，重新掌控自己的号码，阻止进一步的拦截。第二，用一台你信任的设备，更改邮箱和银行账户的密码，并启用非短信的双重验证。第三，通过官方渠道联系你的银行，标记任何可疑交易，必要时冻结卡片或账户。
通过官方 i-report 渠道或反诈热线向警方报案，并把详情登记到 ScamShield。请自行查找这些官方联系方式，而不要使用任何可疑信息里的号码。把发生的经过记录下来，包括日期、时间和任何参考编号，这有助于调查以及任何与银行的争议处理。
SIM 卡盗换会让人感觉被侵犯，但它是可以挽回的。通过了解骗局如何运作、留意那个标志性的信号丢失迹象，并把你的安全验证从短信转移出去，你就能把手机号码从一个薄弱环节，变成一道防守严密的防线。
延伸阅读
双重验证（2FA）指南
善用 ScamShield 与新加坡反诈工具
找回被盗账户
网络安全基础
常见问题
只凭一个手机号码，别人就能偷换我的 SIM 卡吗？ 光有号码是不够的。骗子通常还需要你的姓名、身份证资料和出生日期，才能通过身份核实。所以保护好个人资料、提防钓鱼讯息，能让你成为更难下手的目标。
怎样知道我的号码被人擅自转移了？ 最常见的迹象是附近的人都有信号，只有你突然没有服务，来电和短讯也都收不到。你也可能收到一则你没有申请的 SIM 卡更换通知。请立刻通过官方渠道联系电信公司。
验证器应用比短讯一次性密码更安全吗？ 一般来说是的。验证器应用在你自己的设备上产生验证码，即使骗子夺走了你的号码，也看不到这些码。短讯验证码经由你的号码传送，正是 SIM 卡劫持所针对的环节。只要服务提供这个选项，就尽量使用。
因为 SIM 卡劫持损失了钱，银行会赔偿吗？ 没有保证。是否获得赔偿，要看银行对事件的调查结果和相关条款。请立刻通过官方渠道通知银行，保留时间和参考编号等记录，并向银行询问处理流程。
手机突然显示没有服务，我应该先做什么？ 先重启手机，再看看同一网络的附近人士有没有信号。如果只有你没有服务，就用官方号码或另一部设备联系电信公司，然后尽快保护银行和电子邮件的密码。