你的手机每天连上假基站——我是怎么发现的

你的手机正在连接假基站，而你一无所知。没有弹窗，没有提示，信号满格，一切正常。

2019年，我在拉斯维加斯一场安全会议外亲眼见证了这一幕。测试用的安卓手机从4G突然跌到2G，47秒后恢复如常。基带日志显示：加密算法被降级到A5/0，位置区代码在公开数据库里查无此人，还有一条静默的身份验证请求。

那是六年前，硬件成本还要五位数。2026年，600美元就能搭一个能用的设备。我自己就造——先给红队演练用，再造工具找它们。

这篇文章是我六年实战的检测手册。五个要点，逐条拆解。

一、假基站为什么能骗过你的手机

蜂窝网络的设计逻辑是"先连接，后验证"。

你的设备不断向周围广播自己的存在，哪个塔信号最强就连哪个。连上之后，网络才验证你是不是合法用户。但设备从不验证网络——2G完全不验，4G和5G只验一半。

运营商为了兼容老旧设备和农村覆盖，保留了2G网络。假基站就利用这一点：发射一个极强的2G信号，你的旗舰手机哪怕2026年新款，也会主动降级保连接。

降级过程中，加密常被关闭，你的IMSI（国际移动用户识别码）和IMEI（设备识别码）明文发送。

4G和5G的攻击更隐蔽。现代模拟器广播一个畸形的5G非独立组网信号，触发手机回退到LTE，同时关闭完整性保护。手机以为自己在正常切换，用户只看到信号满格。

这不是理论。我在美国主要城市、机场、政府设施附近都捕获过这类事件。设备越做越小，电池供电，短时间运行以避免被发现。

二、威胁模型已经彻底改变

十年前，IMSI捕捉器是联邦机构的专属工具。现在，零件全是商用现货。

BladeRF x40软件定义无线电、树莓派5、srsRAN开源软件—— textbook大小的完整LTE网络。

私人调查员用来追踪位置。企业安保在活动中监控员工设备。犯罪集团用被动式GSM嗅探器，硬件成本约35美元，采集标识符用于SIM卡交换攻击。

被动嗅探尤其普遍，因为它不发射信号，躲在很多法规的监管盲区。一个RTL-SDR（软件定义无线电接收器）就能在500米内记录所有IMSI，目标设备完全无感知。

你的手机对这一切没有任何原生警告。

三、我用的检测工具和方法

2019年那次发现，我用的SnoopSnitch还在维护。它解析安卓基带日志，标记异常：加密降级、未知位置区、静默鉴权请求。

但SnoopSnitch需要root权限，且只覆盖2G/3G检测。现代攻击 targeting 4G/5G，需要更复杂的手段。

我现在用三层检测：

第一层，被动射频扫描。HackRF或BladeRF配合开源工具如gr-gsm、srsRAN，持续监控周围小区的广播参数。关键指标：同一物理位置出现多个相同频点但不同基站标识的广播；信号强度异常波动；系统信息块中携带非标准配置。

第二层，设备行为监控。安卓的*#*#4636#*#*工程模式能看到实时网络参数。iOS受限，但可通过配置文件获取部分诊断数据。关注：突然的网络类型切换（5G→LTE→2G）、鉴权请求频率异常、位置更新过于频繁。

第三层，基带日志深度分析。高通和联发科芯片有诊断端口，需要专用线缆和授权工具。这是唯一能看到完整信令流程的方式，也是我发现那次47秒事件的来源。

商业用户我用Celldar或类似企业级平台，多设备交叉验证，降低单点误报。

四、普通人能做什么

完全防护几乎不可能。蜂窝协议的信任模型是架构级缺陷，个人无法修补。

但你可以降低风险：

关闭2G/3G网络选择。iOS：设置→蜂窝网络→语音与数据→选择"5G自动"或"LTE"。安卓：设置→网络与互联网→SIM卡→首选网络类型→排除2G/3G选项。注意：这会牺牲部分偏远地区覆盖。

启用VoLTE和VoNR。语音走数据通道，减少回落2G的概率。

敏感场合用飞行模式+WiFi。机场、会议中心、政府建筑附近是高发区域。WiFi加密至少是你能控制的。

定期检查设备标识符泄露。部分安卓工具能显示IMSI是否被频繁请求，异常高频可能是被动嗅探的迹象。

企业用户考虑专用检测硬件。OpenCellID等社区数据库能标记异常基站，但更新延迟。实时检测需要预算投入。

五、为什么这件事被严重低估

蜂窝安全有个根本矛盾：协议设计于信任时代，威胁模型早已过时。

2G标准制定时，设备成本是主要约束，加密是可选附加。A5/1算法被故意削弱以配合出口管制。这些决定在三十年后仍在伤害用户。

4G和5G改进了部分问题，但向后兼容打开了后门。运营商不愿切断2G，因为物联网设备和偏远用户依赖它。安全与商业的权衡，安全总是输。

监管同样滞后。被动嗅探在很多司法辖区处于灰色地带——它不干扰网络，只是接收，传统电信法规难以覆盖。主动假基站违法，但执法资源集中在更大案件。

最危险的是认知盲区。用户被训练成看信号格数判断安全，满格=安心。假基站利用的正是这个心理。

我每年做数十次红队演练，成功率接近100%。目标从高管到工程师，没人察觉。不是他们疏忽，是系统设计如此。

检测工具在进步，但始终是猫鼠游戏。开源社区和研究者公开方法，攻击者同样在学习。600美元的门槛意味着动机比能力更重要。

如果你携带手机，今年很可能已经连过假基站。问题是：你有没有办法知道？

我从2019年那47秒开始造工具找答案。六年过去，答案依然是——大多数人没有。

现在开始检查你的网络设置，关闭2G，启用飞行模式过安检，下载SnoopSnitch如果你有root权限。这些动作不能消除风险，但能改变赔率。

假基站不会消失。但无知的连接，和知情的连接，是两回事。