我只想挣个日薪100块，她却想控制我的手机？

一、前言

缅北“清剿电诈民团”行动应该已经在做总结汇报了吧，前几天央媒发消息称接收了3.1万人，可谓是大快人心，此役之后，柬埔寨、越南甚至全世界面向国内诈骗的大型诈骗团伙，大概率都会偃旗息鼓几年。

这两天刚好翻到了几年前记录的一次刷单诈骗追踪，整理一下发出来，不涉及高深技术，大家图一乐，也可以参考，避免以后遇到相似情况造成财产损失。先讲案例，讲完案例后说一下我的想法，准备好，我们发车。

二、诈骗步骤分析

2021年的某一天，微信群内接到刷单广告

扫描图中二维码，跳转到所谓客服页面

页面地址wx.669***.cn 。非58同城官方网站，初步判定为诈骗网址。

与客服人员对话，设定自己的人设：53岁女，有一个儿子，使用苹果手机，下载软件需儿子协助。渴望挣钱。

对话如下：

对方开始向用户询问年纪，确定用户群体，准备对应话术。确定话术之后开始钓鱼：客服要求用户抖音关注【小橙子】，抖音搜索小橙子，发现有很多小橙子，询问对方关注哪一个，对方回复“小橙子 三个字就好了”，凭关注截图可获取3.2米。进一步断定，是诈骗，怎么会有随便关注任意一个人就给钱的呢，天降大饼，要留心被砸。

抖音随便关注一个小橙子，对方开始索要收款码，并强调是支付宝蓝色收款二维码！！！！

这里有一个坑，打开支付宝收付款后，蓝色页面为付款码，橘色为收款码，收款码保存到本地才是蓝色！！！！

一般大家都有小额免密或者一定额度免密支付，如果这里不注意，将蓝色码发送给对方，对方可以设置任意金额从用户的支付宝中提钱！！！类似于超市员工用扫码枪扫你的二维码，直接将前扫走！！！！

如果这里反应上来，提供真正的支付宝收款码，虽然不能直接使用户造成财产损失，但诈骗者也可以通过收款码获取用户昵称及真实姓名。

为避免信息泄露，网上找了一个公开的宠物资助中心收款码，避免二维码无效引起对方疑心，向二维码转账0.1元成功之后，将支付宝收款码发送给对方。

上图中</pre>为随手测试网站存储型XSS漏洞，本案例只是跟踪流程为主，并未做过多的渗透。

在完成第一步的任务后，要想继续挣钱，必须扫描二维码或者访问特定链接，下载指定APP，

后面无论说什么，对方都是发链接催促让下载APP。

百度搜索对方让下载的APP，有完整的百度百科介绍，欺骗性强。

百度搜索微职APP诈骗，存在相关诈骗、骗人关键字。

苹果手机访问对方给出的下载链接，发现是一个不正经的页面，担心软件存在后门或者有什么高科技手段窃取本人信息，打开电脑端模拟器，使用模拟器打开链接下载安装：

下面这张图是安装界面，这么多的的权限申请，难怪国家严打APP权限。拍照和视频、获取位置、读取手机sd数据等权限，安装之后，隐私就会被获取。

模拟器中安装app，如果手机里面有果照或者其它隐私信息，诈骗者会根据实际情况直接勒索。

点击注册，注册页面只要求输入昵称和密码就可以注册。等保规定，所有网站、app必须实名制，正常注册账号，都需要个人信息才能进行注册。碰到像这种只需要昵称和密码就可以注册，就要注意是不是正规软件。

注册用户 kaixin2/kaixin2

登录

原本以为界面很简单，翻一翻才发现内有乾坤，夹带博彩，网络赌博。赔率和盘口被控制，百分百会输的骗局。

翻了一下其它功能，点击我的—>我的钱包，弹窗让用户输入支付密码，以及密保问题，由于每个人支付密码和密保问题一般都比较固定，且通用多个平台。一旦泄露，可能影响到微信、qq、支付宝、银行卡安全等。容易造成财产损失。

有没有感觉这些问题都很熟悉？骗子获取这些信息，一条可以卖好几块吧。

按照第一步的客服给出的“领钱步骤”，继续找客服接单。

老色pi看到必上当系列头像

加好友之后，没聊几句被识破，与对方沟通之后，大致判断出被识破的原因，因为对方是一个人在操作，微信客服和接待员是同一个人，所以一些话存在前后不对应，以及一些标点符号引起对方疑心，比如“》”，书名号一般都是电脑随手打出来，所以对方会认为不是手机用户。

以下是聊天记录：

三、诈骗步骤总结

四、总结

以前我总疑惑，漏洞百出的诈骗，是怎么诈骗那么多人的。后来才想明白，攻击者的目标根本不是我，或者不是我们这些防范意识强的人，这就是一个分流的概念，他们打一个诈骗电话，或者发一个广告，就能筛选出哪些人容易上当受骗，这部分人才是他们的目标。我国人口基数大，诈骗份子极易从中获取利益。

近两年国家将反诈宣传下沉到普通群众，不遗余力的传播反诈观念，也有效果，连我60岁的爸妈都有了一定的防骗意识，但随着诈骗的话术和手段不断升级，没有专业的反诈意识，终究还是遭不住骗。

这次缅北清剿电诈的成功，进一步体现了我国在治理电诈方面的决心。但只要有利可图，就一定有人铤而走险，诈骗肯定会持续存在，反诈的路还是得一直走一下，模式可能会从集团作案转变为团伙作案，一些小范围的诈骗和小团队的诈骗会变多，诈骗手段也会越来越高明。不要觉得危言耸听，这里提一个问题：接收的3.1万缅北回流，有多少人真的是被骗去做诈骗的？

期待你的关注，定不负所望