很多人觉得，手机密码、支付密码保管好，钱就安全了。现实里大量资金被盗刷的案例，密码没有泄露，偏偏栽在了短信验证码上面。
验证码，相当于账户的临时通行证。只要骗子拿到6位数字验证码，登录账号、修改密码、转账消费很多操作都能直接完成。不少人以为验证码只会被自己看到，实际上手机里面藏着不少看不见的漏洞，木马软件、恶意权限、偷窥截屏、异常短信转发，都有可能悄悄把验证码泄露出去。
不少受害者被盗刷之后，自己完全没有给任何人报过验证码，钱却凭空转走。回看原因，大多是手机安全设置没有做，漏洞敞开，骗子远程拿到验证码，悄悄操作账户。
不是说手机不能用验证码，而是不能放任验证码处于完全不设防的状态。今天讲的全部是手机、运营商、支付软件自带免费功能，不用花钱买安全软件，一次设置，长期生效，普通人、家里长辈都可以照着操作，把验证码这条最大的安全漏洞堵牢。
一、搞懂验证码是怎么悄悄泄露的
很多人不清楚风险从哪里来，简单讲几种生活中真实存在的泄露途径，没有影视剧那种夸张黑客手段，都是普通人很容易踩的坑。
第一种，恶意APP偷偷读取短信。
我们安装软件的时候，很多APP会索要短信读取权限。如果你随手点了允许，恶意软件就可以在后台默默扫描全部短信，收到验证码一瞬间，直接把数字发送给骗子，手机上你自己都察觉不到变化。这种情况多见于来路不明的安装包、网上随便下载的破解软件、陌生链接下载的工具。
第二种，锁屏界面直接暴露验证码。
坐地铁、在公共场所，手机屏幕一亮，锁屏弹窗完整显示6位验证码。旁边的人瞟一眼就记下来；如果手机被远程截屏，验证码直接被截取走。很多人忽略这一点，觉得只是小事，风险实实在在存在。
第三种，号码被设置短信转发。
少数情况，号码被偷偷开启短信无条件转发，所有收到的短信，包括验证码，会同步复制一份发送到骗子的号码。你这边短信正常接收，完全看不出异常，但是验证码已经被别人拿到手。
第四种，中了屏幕共享类诈骗。
骗子冒充客服、售后，诱导开启屏幕共享，你手机屏幕上所有内容对方全部看得见，收到验证码弹窗，对方直接远程看完数字，不需要你手动报出来，资金就被盗刷。
第五种，伪基站、恶意轰炸试探。
手机莫名其妙收到一堆自己没有操作过的验证码短信，这就是黑产在用你的手机号批量尝试登录各类平台。这个时候千万不要觉得烦直接全部删掉，这是风险预警信号。
记住一句核心：验证码，等同于你的支付密码，任何人，不管自称银行、公安、客服，都不应该向你索要验证码。
二、手机系统设置，从本机锁住验证码
这一步是最关键，安卓、苹果手机分开说明，全部是系统自带功能，不需要额外下载软件。
安卓手机（华为、小米、OPPO、vivo、荣耀通用）
1. 打开自带短信APP，进入设置，开启验证码安全保护。开启之后，第三方应用无法读取验证码短信，只有你本人打开短信软件才能看见，阻断木马偷读验证码的通道。顺带打开恶意网址识别，自动拦截短信里面的钓鱼链接。
2. 关闭锁屏显示短信完整内容。打开设置，找到通知管理，点开短信通知，关闭锁屏预览详情。设置完成，锁屏只会提示收到新短信，不会把6位验证码直接展示出来，防止被偷窥截屏。
3. 清理APP短信权限。进入设置‑应用‑权限管理‑短信权限。只保留微信、支付宝、银行官方APP的短信权限，其余所有软件全部设置禁止读取短信。以后安装新APP，只要索要短信权限，一律拒绝。
iPhone苹果手机
1. 设置‑通知‑信息，关闭显示预览，选择永不。锁屏不再展示短信具体内容。
2. 设置‑信息，打开过滤未知发件人，拦截陌生骚扰短信。
3. 设置‑隐私与安全性，检查完全访问短信列表，除正规软件之外，全部关闭权限，不让陌生软件读取短信。
做完上面几步，手机本机层面，第三方软件就很难偷偷拿到你的验证码。
三、运营商层面加固，堵住号码网络漏洞
手机本身设置完，还要给手机号加一层防护。有些漏洞不在手机里面，而是在通信网络这边。
第一，检查有没有异常短信、呼叫转发。手机拨号界面输入 ##002#，按下拨打，这个指令会清除本机所有无条件呼叫、短信转发设置，免费，不会产生话费。隔两三个月可以操作一次，防止号码被悄悄配置转发规则。
第二，开通运营商反诈防护服务，全部免费。
• 中国移动：发送 KTFSR 到10086
• 中国联通：发送 KT 到10655587
• 中国电信：发送 KTFSR 到10001
开通之后，会拦截伪基站、高频骚扰、批量轰炸验证码短信，减少异常短信攻击。
平时很少接收境外来电短信的朋友，可以联系运营商客服，申请关闭境外来电、境外短信接收，能减少一大半境外诈骗信息骚扰，经常有海外业务的就不要关闭该功能。
提示：这些防护服务，打运营商人工客服，也可以直接让工作人员帮你开通。
四、支付账号二次加固，双重保险
手机和手机号防护好了，微信、支付宝、手机银行也要配套设置，就算验证码万一泄露，也多一层屏障。
1. 开启设备锁、登录保护。陌生设备登录你的账号，除短信验证码之外，还需要人脸或者二次确认，不会单凭一条验证码就登录成功。
2. 定期查看登录设备列表，把不是自己在用的设备全部下线。
3. 支付设置里面，把免密支付、小额免密，不用的项目全部关闭。
4. 银行卡务必开通交易变动短信提醒，账户发生转账扣款，第一时间收到通知，一旦出现盗刷，可以快速冻结止损。
五、日常3个行为习惯，避开绝大多数风险
再好的设置，也抵不过自己操作失误，下面这几件小事一定要记牢，也转发提醒家里长辈。
1. 手机收到一堆自己没有操作的验证码，不要直接全部删除。这代表有人正在拿你的手机号尝试登录账号。立刻检查账号安全，修改重要账号密码，必要时冻结账户，有异常拨打96110咨询。
2. 任何电话，不管对方身份说得多么逼真，只要索要短信验证码，直接挂断。正规机构永远不会电话找你要验证码。
3. 不要随便点陌生短信链接，不要安装微信、应用商店以外来源的APP，不要听从陌生人指令开启屏幕共享。一旦开启屏幕共享，手机屏幕所有内容对方都看得见，验证码直接暴露。
如果真的不幸发现账户异常被盗刷，第一时间冻结银行卡、支付账号，保存短信记录，立刻拨打110报警。
写在最后
短信验证码，是很多人手机安全最薄弱的一环。很多人重视密码，却忽略验证码的防护。骗子不需要拿到你的手机，依靠漏洞就有可能获取验证码。
防护不是为了制造恐慌，而是把本该关上的漏洞堵上。上面这些操作，一次设置，平时正常打电话、收短信、网购支付，不会有任何影响。有空的时候，也可以帮家里父母长辈检查一遍手机设置，老年人更容易中招。
