2. 移动通信基础
要理解SIM Swap（换卡攻击）为什么能得手，必须先弄清楚移动网络中“你是谁”这件事是如何被定义和验证的。很多安全人员熟悉Web侧的会话与令牌，却对移动网络的用户标识体系比较陌生，导致在分析换卡事件时抓不住关键节点。本节把与换卡风险直接相关的移动通信基础串成一条线：卡、标识、核心网数据库、换卡流程、身份验证机制。
一、SIM卡与eSIM：身份的物理载体
SIM卡本质是一张带有安全芯片的智能卡，内部运行着卡片操作系统，保存着密钥、标识和部分应用数据。它与手机之间通过标准接口交互，手机只是“读卡器+通信终端”，真正代表用户身份的是卡内的安全元件。卡内最关键的几类数据包括：
- IMSI（International Mobile Subscriber Identity）：国际移动用户识别码，是核心网识别用户的内部标识，通常不直接暴露给用户。
- Ki/OPc：用于网络与卡之间双向鉴权的长期密钥，是防止卡被伪造的根基。
- ICCID：卡的物理序列号，用于运营商管理卡片库存与绑定关系。
- MSISDN：手机号码，用户感知的“号码”，实际存储在核心网侧而非卡内。
eSIM（嵌入式SIM）把传统可插拔卡变成焊接在设备上的芯片，并通过远程配置（RSP）下载运营商配置文件（Profile）。对换卡攻击而言，eSIM并没有天然免疫：攻击者若能通过运营商客服或线上渠道把eSIM配置文件重新下发到自己的设备，效果等同于物理换卡。区别在于，eSIM的迁移更依赖运营商的远程身份验证流程，一旦该流程被社工突破，攻击面反而更集中。
二、核心标识与HLR/HSS：谁在记录你的位置
IMSI和MSISDN的关系可以理解为“内部ID”和“对外显示名”。用户拨号时输入的是MSISDN，网络内部路由和鉴权主要依赖IMSI。两者通过HLR/HSS中的签约数据绑定。HLR（Home Location Register）是传统2G/3G核心网的用户数据库，HSS（Home Subscriber Server）是4G/5G中演进的统一用户数据管理实体，功能更丰富，支持更多接入类型和业务签约。
HLR/HSS中与换卡直接相关的数据包括：
- IMSI与MSISDN的绑定关系；
- 鉴权密钥（Ki/OPc）及鉴权算法参数；
- 当前用户所在的VLR/MME/AMF等位置信息；
- 业务签约：语音、短信、数据、漫游、补充业务等。
当用户换卡后，运营商需要在HLR/HSS中把新的ICCID/鉴权密钥与原有IMSI、MSISDN重新关联，并触发位置更新。这个“重新关联”的动作，就是SIM Swap在核心网侧的本质。攻击者拿到新卡后，短信和语音会路由到攻击者设备，而受害者手机可能暂时失去服务或显示无服务。
三、运营商换卡流程与身份验证机制
正常换卡流程通常包括：用户发起申请、身份核验、旧卡失效、新卡激活、HLR/HSS数据更新、业务恢复。不同运营商的细节不同，但核心环节一致。下面是一个典型的换卡流程清单：
- 申请受理：营业厅、客服热线、App、线上营业厅等渠道。
- 身份核验：证件号码、服务密码、近期通话记录、短信验证码、人脸识别等。
- 风险审核：判断是否为高风险号码、是否近期有异常操作。
- 旧卡停用：在HLR/HSS中标记旧卡失效，防止双卡同时在线。
- 新卡激活：写入IMSI、Ki等数据，绑定MSISDN。
- 位置更新与业务恢复：新卡注册网络，短信、语音、数据恢复。
身份验证机制是防守的核心。常见验证因子包括：
| 验证因子 | 示例 | 被社工突破的常见方式 |
|---|---|---|
| 知识因子 | 服务密码、身份证号、生日 | 数据泄露、撞库、公开信息收集 |
| 持有因子 | 短信验证码、旧卡接收验证 | 短信劫持、补卡前诱导转发 |
| 生物因子 | 人脸识别、活体检测 | 深度伪造、视频通话绕过 |
| 行为因子 | 近期通话记录、常用地点 | 信息收集后模拟回答 |
四、案例与复盘：一次典型的换卡攻击链
假设攻击者已掌握受害者姓名、身份证号、手机号，并通过钓鱼获取了服务密码。攻击链可能如下：
1. 攻击者拨打运营商客服，声称手机丢失，要求补卡。
2. 客服核验身份证号与服务密码，通过。
3. 客服发送短信验证码到旧卡，攻击者通过钓鱼页面诱导受害者转发。
4. 客服完成核验，停用旧卡，将新卡寄出或在线激活eSIM。
5. 新卡激活后，HLR/HSS更新绑定，短信与语音路由到攻击者设备。
6. 攻击者利用短信验证码登录银行、邮箱、社交账号，完成资金转移或账号接管。
复盘时常见误区包括：
- 只关注技术漏洞：忽略客服流程和社工手段，导致防护措施不完整。
- 认为eSIM更安全：eSIM只是载体变化，远程配置流程若验证不足，风险同样存在。
- 把短信验证码当作强验证：在换卡场景下，短信验证码本身可能被劫持，不能作为唯一凭证。
- 忽略HLR/HSS数据一致性：旧卡未彻底失效可能导致双卡在线，增加追踪难度。