攻击链视角下语音及短消息类业务的诈骗风险演化分析

通信技术的快速演进在为社会生活带来便利的同时，也为诈骗犯罪提供了持续升级的技术土壤。从传统电话到平台通信、网络电话、即时通信，通信手段不断升级，诈骗犯罪的演变与通信技术迭代高度同步[1]。当前诈骗活动虽已蔓延至互联网社交平台和即时通信软件，但语音与短消息作为最基础、最普遍的通信入口，仍是诈骗行为引流触达与信任构建的核心载体。普通移动电话、固定电话诈骗屡禁不绝，VoIP（Voice over Internet Protocol‌，互联网电话）与中间号被用于实施匿名呼叫，短信群发、端口短信引流等手段亦较为常见。诈骗方与治理方呈现典型的博弈态势，防御手段的升级使得攻击方法创新，而新型攻击技术的出现又反过来对现有反制体系构成严峻挑战。由此，本文结合基础通信业务诈骗攻击链的展开方式、攻防双方围绕通信媒介形成的博弈演进逻辑，分析电信网络诈骗手法与业务风险，并探索遏制诈骗分子滥用通信业务资源的治理思路。对这一系列问题的深入探究，不仅有助于揭示诈骗犯罪的行为机理，也可为构建更加精准、更为协同的防御体系提供认知基础。

攻击链（Kill Chain）理论源于军事领域，用于描述攻击行动的分阶段结构。2011年，Hutchins等学者将其引入网络安全领域，提出了网络杀伤链（Cyber Kill Chain）框架，将网络入侵过程划分为侦察、武器化、投递、利用、安装、命令与控制、行动七个相互依赖的环节[2]。该框架的核心思想在于：一次网络攻击并非不可拆解的整体，而是具有明确因果逻辑的阶段链条，防御方若能在任一环节实施有效阻断，攻击便无法继续推进。

电信网络诈骗具有多步骤、分阶段的攻击特征。典型的诈骗过程通常包含资源获取、引流触达、信任构建、操控实施、资金转移等关键步骤，每一步均为后续环节的前提条件，与攻击链的阶段依赖逻辑契合。无论是基于语音、短信，还是基于互联网业务的诈骗，各类诈骗手法实施的不同阶段能够与电信业务各环节的风险点形成映射关系，为从业务视角开展风险防控提供了分析基础。攻击链视角有助于将实际工作中的经验性观察纳入统一的框架内进行分析，明确各风险点在攻击进程中的位置与功能，从而为制定有针对性的阻断策略提供思路。

基于上述逻辑，本文将电信网络诈骗攻击链拆解为“资源准备—引流触达—信任构建—实施操控—获利转移”五个环节，并将其作为贯穿全文的分析基础。

1 攻击链各环节的内涵与业务映射

本文所述攻击链基于电信网络诈骗的执行模式进行了适配改造，下面将阐释各环节的内涵及其与电信业务之间的映射关系，为后续的风险分析和治理策略奠定框架基础。

资源准备，指诈骗实施前对通信通道、潜在受害人信息等关键资源的获取与准备，包括号卡、语音线路、短信端口等。这一环节对应号卡业务开通、语音业务接入、短信端口审批等电信业务方面的风险敞口，比如实名不实人、端口接入审核疏漏等。此外，个人信息批量获取也是诈骗资源准备阶段的重点作业内容[3]。

引流触达，指诈骗方利用各类通信或网络渠道批量传播信息，吸引潜在受害人并将其引入诈骗分子预设的接触场景，这是诈骗过程中首个与受害人产生交互的环节。群发短信、批量外呼、社交平台私信等，均属此类，对应短消息业务的内容审核、语音业务的异常呼叫行为识别、账号异常检测等方面。

信任构建，是整个诈骗链条中最为关键的一环，指诈骗方通过技术伪装或情境欺骗削弱受害者防备心理，诱导其按照诈骗预设逻辑执行操作，为后续诈骗实施提供前提条件。常见手法可大致分为两类：一类是技术伪装，如改号、盗用外呼平台、AI换脸与语音克隆等，使通信标识或交互形象具备权威性或熟人特征；另一类是情境伪装，例如发送内容正常的短信并附上假冒客服电话，借受害者对端口短信的信任诱导其回拨。上述两类手法均依赖公众对号码、业务及场景的信任。

实施操控，是指在信任建立后诈骗者通过持续对接、话术施压、循循诱导等方式操控受害者行为，驱使其主动完成资金转账、下载远程控制软件等操作。该环节既是诈骗结果的直接推动阶段，也是对虚假信任的持续强化，对应语音业务的风险监测、互联网业务的流量分析等风险识别需求。

获利转移，是攻击链的收尾环节，涉及资金的多级拆分、虚拟币兑换、话费充值洗钱等。这一环节映射到电信领域的主要风险暴露面是话费充值通道和物联网卡流量套利等。对电信领域而言，这类行为在导致直接资金风险的同时，易造成渠道结算坏账、企业因合规漏洞被罚，并且挤占正规码号及网络资源，额外增加涉案核查与风控运维成本[4]。

2 语音业务

语音通话凭借即时性与强交互性，长期以来都是电信网络诈骗的主要触达通道。语音类业务诈骗的持续变异，是一场围绕号码资源获取、主叫身份伪装、溯源对抗等维度的持续博弈——治理方不断收紧通信资源准入、提升异常识别与阻断能力，而诈骗者则反复寻找新的通路寄生点与伪装手段。

2.1 号码资源获取的演变与升级

语音类诈骗的起点是获取可用的通话号码与通信通路。早期，诈骗者主要采用低成本的社会工程方式：组织老年人、未成年人、无业游民等开立实名电话卡，或通过地下渠道批量收购号卡并携带出境使用。即使这些号卡进行了实名认证，也无法追溯到实际使用人，仅靠实名制难以对泛滥的号卡资源进行有效管控，治理方随即通过“一证五卡”限制、加强营业厅身份核验等措施加以封堵。

然而，诈骗者又利用语音业务的技术性漏洞，如eSIM（Embedded Subscriber Identity Module‌‌，嵌入式SIM卡）“一号双终端”的附卡机制等，复制用户的eSIM信息以获取同号号卡，或直接对eSIM业务后台发起网络攻击批量办理附卡。与此同时，呼叫中心作为传统且高效的渠道，也容易被诈骗分子渗透与盗用，获取号码资源。至2025年，资源获取环节在语音业务方面呈现两个显著趋势：其一，虚拟运营商的号卡依旧是被利用的重灾区，诈骗方有组织、成规模地从虚商处批量购入号卡，再以“兼职”等名义招募人员，利用后者真实身份信息线上完成开卡实名认证，将身份风险转移至他人[5]；其二，诈骗者大量将境外号码带入境内使用，以规避风险监测。

目前，资源获取的焦点正在从“直接获取号码”向“盗用劫持通信通道”迁移，“固话VoIP盗打”是这一趋势的典型表现：诈骗者在居民楼或企业的电话接线箱中秘密安装VoIP设备，远程控制合法固话线路进行诈骗呼叫，即所谓的VoIP“小黑盒”[6]。这一手法的危险性在于其双重损害——固话号码相较于手机号具有更强的本地可信度，而劫持本身又解决了语音通路问题，境外诈骗电话借此伪装成本地固话，大幅降低了受害人的警觉性。电信行业虽已构建异常监测模型，多家运营商也建立识别后及时处置的机制，但诈骗者挑选事业单位、重点企业等白名单保护用户，利用其需要谨慎处置而产生的响应延迟，为自己争取作案窗口。2025年10月，全国多地警方曾联合开展针对此类VoIP“黑匣子”的专项收网行动，抓获犯罪嫌疑人74名，扣押设备300余台，但此类手法仍呈蔓延之势。

2.2 主叫身份伪装与通信通道寄生

获取号码资源后，诈骗者的下一目标是通过大规模外呼及引流等方式触达受害人，同时实施主叫身份的伪装。早期，诈骗方采用改号软件仿冒公检法机关来电的作案手段，在被大幅拦截后，诈骗手段逐步转向对合法业务特性的深度寄生。

呼叫设备的形态迭代充分体现了这一寄生逻辑。早期诈骗方利用GOIP（GSM Over Internet Protocol，基于互联网协议的GSM网络电话）设备实现批量外呼，治理方则通过大数据监测模型等手段进行识别并予以打击[7,8]。随后诈骗方又发展出“简易组网GOIP”，仅需2部手机、1根音频线即可完成呼叫组网[9]，在该模式下，境外诈骗方通过网络远程操控境内两部手机之间的语音通路，诈骗实施者与设备控制者可分别位于境内外，既降低了成本，又实现了人机分离。传统打击手段对无专业硬件的简易组网难以识别，因而存在监测盲区。

2.3 溯源的遮蔽与干扰

溯源干扰始终贯穿于上述五大环节中[10]。诈骗方在诈骗过程中充分利用业务特性及技术伪装，使得治理方的追溯链条不断被切断或引入歧途。

大部分境外号码根据不同国家和地区的要求进行管控，极难追溯，因而成为诈骗者常用的诈骗资源[11]，并且演化出了多种利用方式。例如，利用软件对境外漫入号卡进行改号、利用跨境“一卡双号”业务等规避国际关口局的监测拦截，以及在这些手法之上叠加多层呼叫转移，使通话路径的溯源难度大幅增加。此外，部分双向呼叫业务（如会议桥接系统）也被利用，诈骗者与受害人之间的直接通信关系被合法平台业务隔离，溯源链条较普通电话更为复杂，被诈骗者用作隐匿屏障[12]；中间号的业务逻辑是隐藏真实主叫号码，且溯源链条跨平台甚至跨企业，因而被诈骗者视为“便利的诈骗资源”。

2.4 演进小结

在资源准备与引流触达环节，线上开卡“实名不实人”及固话VoIP劫持等手法，使攻击重心从“获取不合规号码”转向“寄生合规通信资源”。风险焦点由此从“号码是否实名”转向“通信线路是否被寄生”——即便号码归属白名单用户，其信道仍可被利用。这使得基于号码信誉的风控模型陷入“误伤用户”与“放过风险”的两难境地：异常行为虽可被识别，但因涉及正常业务路径，阻断决策往往滞后于诈骗实施。

当前电信行业已部署异常话务监测、AI语音质检等实时模型，覆盖引流、信任构建及实施操控等环节，并可在识别诈骗后通过AI回访等方式对潜在受害人进行预警劝阻，以此阻断信任构建。然而，诈骗方也引入针对性反制——通过社会工程手段诱导受害人设置呼叫转移或将反诈号码拉黑，直接阻断运营商的预警短信与提醒电话、警方劝阻的触达路径，导致预警劝阻机制濒于失效。

这一变化也暴露出防控链条在信任构建与实施操控的衔接上出现断裂：监测能力覆盖诈骗链路前中段，末端却高度依赖用户配合；而攻击方恰能以低成本干预受害人通信行为，将“预警劝阻”这一关键节点从防御链上去除。因此，防控加固的重点宜从单一环节的识别精度提升，转向各环节衔接处的决策加速与兜底机制设计。

3 短消息业务3.1 发信资源的梯度转移

在资源准备环节，短消息类诈骗初期以个人手机卡、境外手机卡或发信平台作为主要工具。随着基础电信企业对国际及港澳台短信业务全面施行按需开通、默认关闭的接收策略，境外来向诈骗短信的通路被大幅收窄，攻击重心随即向境内资源转移。诈骗方获取发信能力的渠道多样：一是通过网络攻击手段窃取或劫持政企短信平台的发送权限[13]；二是利用行业短信端口在转租、转售过程中代理商审核缺位或企业管理的疏漏，实现冒名接入或层层转包；三是非法调用终端自有的短消息业务通道。此外，治理方对涉诈号码实施单向停机后，诈骗者将号码嵌入引流短信，诱导受害人主动呼叫，最大化利用号码资源激活诈骗链路。此种诈骗方作为被叫的模式，使基于主叫行为的异常话务模型难以有效识别，拦截难度显著提升。

3.2 内容过滤的对抗升级

在引流触达环节，诈骗者若想让短信触达潜在受害人，就要绕过已有的短信拦截系统，电信行业长期依赖关键词库与链接域名检测对诈骗短信实施拦截，诈骗方则持续升级规避策略。一是以特殊字符、谐音字、拆字、变体拼写等替代敏感词，使恶意内容绕过文本匹配规则，而受害人仍可理解真实语义[14]。二是改用彩信形式，将引流信息嵌入图片或图文混合内容，增加光学字符识别与内容解析的技术难度。三是采用表面完全合规的话术模板，传统诈骗短信以虚假中奖、贷款授信、仿冒银行通知等内容直接构建欺骗场景，关键词与链接检测可对此类短信形成有效拦截；当前更具威胁的手段是将短信仅作为正规流程的触发节点，使短信内容本身不具备可判定为诈骗的特征，诈骗意图则隐藏在后续交互环节。典型案例如：受害人在正常网购后收到包含真实快递取件码的短信，短信内容及发送端口均完全合规，随后便接到假冒客服的回访电话，以快递丢失理赔为由诱导受害人转账。内容过滤机制由此陷入两难：正常放行则存在风险敞口，升级拦截则易误伤正常业务，防控重心被迫从拦截恶意内容转向识别正常内容背后的诈骗意图。

3.3 演进小结

短消息类诈骗在资源侧呈现由“个人终端违规获取”向“平台端口寄生利用”转移的特征，在手法侧则由“直接的内容欺骗”向“将恶意后置到交互环节”转向。就业务风险而言，端口接入与代理商管理始终是资源侧风险相对集中的区域，端口资质的管控缝隙一旦被穿透，往往意味着诈骗短信会在短时间内被规模化投递。手法侧的风险则更多体现在合规内容与诈骗意图的分离，当短消息本身不再携带可检测的恶意特征时，原有依赖关键词与链接识别的拦截机制便可能出现覆盖面收窄的问题，风险识别的主阵地被动向跨业务、跨链路的交互行为分析偏移。

在资源准备环节，宜持续收紧端口接入资质的审核、加强转租转售管理，并对端口下短时间内的发送频次、发送量级等指标施加更细粒度的阈值约束。在引流触达环节，关键词与链接检测仍可发挥基础作用，但需逐步叠加意图识别能力，将短消息内容特征与发送频次、发送端口、后续交互行为等跨维信息进行关联研判，提升对变体话术与合规伪装话术的辨识能力。在信任构建和实施操控阶段，防护的重点应从短消息发送前的拦截延伸至发送后的风险防控闭环，建立跨周期反查与复检机制，压缩从恶意确认到全网关停的时间窗口。随着合规内容与险恶意图相分离的诈骗模式趋于常态化，行业当前以发送前拦截为核心的短消息防护体系面临困境，现有拦截机制的决策节点集中于短消息出网链路阶段，而诈骗的恶意行为特征，则多在短消息触达用户后的二次交互环节逐步显现，导致前置拦截存在信息壁垒。对此，可通过将部分防控能力由发送端向接收端延伸，在用户终端部署轻量化风险感知模块，针对携带短链接、回拨号码等交互入口的短信，赋予系统动态风险标注能力并建立预警屏障，有效弥补发送端拦截模式的识别盲区，完善全流程风控体系。

4 结语

从语音、短消息业务的攻防演变可以看出：诈骗资源不断向合规通信载体聚集，欺诈设计趋向恶意后置，溯源对抗渗透攻击链各个阶段。现行按业务条线分立的治理模式受“数据孤岛”、权责分割等制约，难以完整捕捉跨域串联的诈骗全链路，叠加“黑灰产”模块化资源流通加速诈骗手法迭代、风控规则更新滞后于犯罪技术演进等现实困境，在AI伪造泛滥、新型通信业务落地的背景下，原有聚焦前端拦截的防控体系短板将进一步凸显。后续反诈治理需要跳出单一业务的局部管控思维，依托攻击链全环节逻辑打通跨领域数据协同与联防处置机制，实现全链条闭环防控。