每经热评 | 诈骗短信借汽车召回浑水摸鱼，光靠企业辟谣远远不够

每经评论员 杜恒峰

11月11日，长城汽车发布声明，称有不法分子冒充哈弗品牌官方名义，向车主发送伪造的召回提醒，谎称零部件存在安全隐患并附陌生网址链接，公司已就相关线索向公安机关报案。同日，特斯拉中国客服确认，网传“召回并赔偿2800元”的短信并非官方发布，是诈骗，“点击链接输入手机号加验证码，很可能会直接造成账户扣款”。而从11月4日起，一汽丰田、大众、理想、宝马已先后就所谓“气囊召回”短信辟谣。

车企密集辟谣召回相关短信，紧随真实的召回事件之后：11月4日和6日，国家市场监督管理总局缺陷产品召回中心连发多起公告，涉及近十个汽车品牌。骗子正是踩在这条公开新闻的时间点“进场”。

类似事件已不是新鲜事。云南大理一位车主收到的短信里，姓名、车型、车牌甚至车架号都对得上，甚至还附了一张盖公章的“官网文件”，直到她核对网址才发现有假。并非每个人都有这份谨慎和幸运，宁波一位车主点开短信链接，进入伪造的“服务中心”，页面完整显示他的车牌、车型和车身颜色，随后被以“工信部监管、银联核验身份”为由诱导下载会议软件、转账49990元。还有车主被“测试编码”4个字套走大额资金，直到账户少了20万元才反应过来。

类似案例有三个显著特征。一是迷惑性强。诈骗短信寄生在近期真实事件之上；短信精准投送到本人手机，车牌车型分毫不差；再配上带公章的红头文件、能调出自己车辆信息的仿冒页面，看似真实、精准、权威，消费者很容易放松警惕。二是规模很广。从特斯拉、长城到理想、大众、宝马等，涉及品牌多；受害者广泛分布于全国多地。三是诈骗“剧本”已经“工业化”。北京警方介绍，骗子主要通过手机短信和iMessage投送，用车辆隐患、质保失效制造紧迫感，诱导点击链接、提交身份证、银行卡和验证码；通过精准投送、高仿官网、利诱施压、远程屏幕共享，四步走一字不差，与航班退改签、快递理赔、网购退款的老骗局套路几乎一致。

骗局层出不穷，问题出在哪里？首先是个人信息的泄露，姓名、电话、车型、保险到期日，被以每条几毛到几元的价格流转，这意味着车企、经销商、保险机构或平台某一环的内部人存在违法违规行为，或是出现“脱库”（以非法手段获取网站的数据库）。其次是中间的通道。虚拟号、106短信通道、iMessage都能把消息伪装成通知，成本极低；域名与服务器设在境外，关停常滞后于一个诈骗周期。再就是仿冒成本极低而核实成本极高，利用AI（人工智能）工具，骗子就能大批量、低成本生成网页，车主却要自己判断域名真假。最后是支付环节，银行或支付工具对“本人配合”的诈骗识别困难，卡号、预留手机号、验证码一旦被屏幕共享窥走，这笔交易在系统看来就是本人授权。

骗局总是会更新、升级，其治理不可能一劳永逸，但当问题已经频繁出现，就应当及时采取措施进行打击。要拆穿骗局，光靠企业自己辟谣远远不够。辟谣只能证伪一条短信，止不住下一批。

回到源头，从车企到保险公司，应把车架号、车牌、车主手机号列为敏感信息，遵循最小权限原则，批量导出应单独审批并全程留痕；召回通知尽量走官方App和车主预置消息通道，短信只做提醒不带链接。对于通道，运营商应当做好拦截工作，对夹带外链的短信触发二次核验，发送主体未在企业或官方机构备案的一律拦截，对多次流出同类钓鱼短信的服务商暂停资质，而不是只封单条短信。支付端口，对陌生设备新增绑卡、大额分散转出提高核验等级，优先App内弹窗或人脸核验，降低对短信验证码的依赖，尤其是检测到屏幕共享类进程活跃时进行强提示。只有各个环节针对性地及时作出调整，才能防止骗子再一次得逞。

免责声明：本文内容与数据仅供参考，不构成投资建议，使用前请核实。据此操作，风险自担。

封面图片来源：AI