多伦多 SMS Blaster 抓捕：短信信任正在被廉价设备撬开

Toronto Police Service这次用了一个很重的词：unprecedented。警方称，3名男子因涉及“SMS Blaster”短信群发设备案件，共面临44项指控。

这起案子的反常点不在“又有人发诈骗短信”。而在于，攻击者不一定要走传统垃圾短信链路，也不一定要攻破银行或手机系统。只要把一套设备放到足够近的位置，就可能向附近手机批量推送伪装短信。

短信原本是很多服务的默认入口：银行提醒、支付验证、登录验证码、运营商通知。问题也卡在这里。入口越常用，被廉价工具批量伪装后的杀伤力越大。

这起案子说明了什么

SMS Blaster的危险不在概念多新，而在它把短信诈骗从“远程撒网”推进到“近场批量诱导”。

普通垃圾短信更多像海量投放。SMS Blaster更像有人把一个小型伪装入口推到人群旁边。手机震动，短信弹出，内容像银行、快递或平台通知。很多用户的第一反应不是怀疑通信链路，而是处理眼前事务。

这就是它击中的软肋：用户习惯相信短信到达方式本身。

这里也要把边界说清。不是所有短信诈骗都来自SMS Blaster，也不能把每一条钓鱼短信都算到这类设备头上。多伦多警方目前披露的事实，只能说明这类设备已经进入执法视野，并且足以支撑警方以罕见案件来处理。

但方向已经够清楚：近场、批量、伪装，三件事叠在一起，短信的老毛病就变成了公共安全漏洞。

真正危险的是短信被当成强信任

普通用户看短信，通常不会研究背后的运营商链路。大多数人的判断很朴素：发件人像不像、话术像不像、是不是我正在等的通知。

SMS Blaster这类设备利用的正是这层朴素信任。它不需要让攻击变得高明，只需要让伪装更贴近现场。

对两类读者，影响最直接。

这不是要求大家立刻废掉短信。现实也做不到。

短信便宜、覆盖广、无需安装App，对银行、运营商和公共服务仍有价值。尤其是老年用户、低频用户、跨平台场景，短信仍然是低摩擦通道。

问题在于，低摩擦不等于高可信。过去很多产品把短信验证码当作身份锚点，是因为它足够便宜、足够普及、足够省事。现在这些优点没有消失，但风险成本开始重新计价。

用户侧最现实的动作也很简单：不要点短信里的高风险链接。尤其是要求输入账号、密码、验证码、银行卡信息的页面，直接关掉。自己打开官方App处理。

企业侧更难。因为改认证链路意味着成本上升、转化下降、客服压力增加。很多团队不是不知道短信弱，而是舍不得改。安全常常输给转化率，直到事故把账单送上门。

诈骗升级，不是话术升级，是成本下降

我更在意的是成本结构。

很多安全问题，表面看是坏人更聪明了，底层其实是坏人成本更低了。早期垃圾邮件就是这样。发送成本接近于零，哪怕转化率低得难看，也能靠规模赚钱。

假基站时代也有类似影子。技术门槛下降后，犯罪扩张通常跑在治理前面。不完全一样，但逻辑相通：当通信入口能被低成本伪装，骗子就会优先攻击入口，而不是硬攻系统。

“天下熙熙，皆为利来。”这句话用在诈骗产业上很冷，但准确。它不追求技术优雅，只算投入产出比。能用便宜设备劫持一段用户信任，就不会去做更贵的系统入侵。能把短信包装成银行提醒，就不必攻破银行。

这也是我不太买账“用户提高警惕就行”的原因。用户当然要警惕，但把公共通信系统的信任缺口全丢给个人识别，是偷懒。

执法抓人是必要的。设备流通也该被盯住。但如果治理只停在抓几个人，下一批设备、下一批话术、下一批地点很快会补上。

接下来真正该观察的，不是这3名男子最后如何被判。那要等司法程序。

更该看三件事：运营商是否加强异常近场短信活动识别；银行和支付服务是否降低短信验证码权重；平台是否把高风险操作从“短信确认”迁到更强的设备和App内确认。

短信不会马上退出。但它已经不适合继续替保险柜站岗。

多伦多这起抓捕的意义，就在这里：它把一个长期被低估的问题摆到台面上。短信不是不能用，而是不能再被默认相信。