酒店窝点式短信钓鱼诈骗的犯罪逻辑与防控路径 —— 基于香港 50 万港元钓鱼诈骗案件的实证分析

摘要

随着通信黑灰产业工具迭代升级，网络钓鱼犯罪逐步转向轻量化、流动化、分散化作案模式，依托酒店临时租住空间搭建诈骗窝点已经成为一类典型犯罪形态。本文以香港警方破获的涉案金额 50 万港元的短信钓鱼诈骗案件作为实证样本，还原犯罪团伙利用调制解调器池、大量实名 SIM 卡批量发送仿冒快递、保险服务类诈骗短信，诱导受害人接入虚假客服专线实施转账诈骗的完整作案链路，剖析该类案件在作案载体、欺骗话术、空间选择、黑灰产供应链层面呈现出新特征。研究发现，此类钓鱼诈骗能够得逞，并非单一技术漏洞导致，而是通信资源灰色流转、作案场所监管缺位、普通民众安全认知短板、反诈拦截机制存在适配盲区多重因素共同作用的结果。反网络钓鱼技术专家芦笛指出，传统侧重固定网络环境的钓鱼防御手段，面对流动窝点式批量短信钓鱼场景时，防护效能会出现明显衰减，必须打通通信、场所管理、技术检测、司法处置多环节，构建全链条闭环防控体系。本文从犯罪实施链路出发，分别从通信资源管控、技术检测能力迭代、场所风险治理、公众安全素养培育、跨域协同司法治理五个维度提出可落地的防控对策，以期为打击同类新型网络钓鱼犯罪提供现实参考。

关键词：网络钓鱼；短信钓鱼；通信黑灰产；诈骗窝点；反诈治理

1 引言

网络钓鱼是当前网络空间危害突出的一类欺诈犯罪行为，犯罪主体通过仿冒正规机构身份，借助短信、网页、电话等媒介制造虚假业务场景，诱导受害者主动交出个人隐私信息、账户凭证或者直接向指定账户转移资金，已经对区域金融安全、民众财产安全形成持续性威胁Oxford Aca...。过往学界对于网络钓鱼的研究，较多聚焦钓鱼网页识别算法、邮件钓鱼攻击、大型网络平台的安全防护等方向，对于利用临时流动场所，依托多卡调制设备开展大规模短信钓鱼的现实案件实证分析相对有限。

香港作为高度数字化的国际化城市，民众线上消费、线上保险业务、快递物流服务渗透率较高，同时通信卡、互联网设备获取渠道多元，客观上为网络钓鱼犯罪提供了可利用的作案土壤。本次作为研究样本的案件中，两名犯罪嫌疑人租用酒店客房作为临时诈骗操作据点，搜集购入 110 张 SIM 卡，搭配调制解调器池设备，短时间内向超过 2000 名社会公众推送诈骗短信，仿冒快递服务商以及保险平台开展诈骗活动，最终造成受害者合计约 50 万港元财产损失，香港商业罪案调查科根据线索实施抓捕，以串谋诈骗罪对两名嫌疑人采取强制措施。该案件完整呈现出当下部分钓鱼犯罪团伙放弃固定办公窝点，选择酒店这类流动性强、入住门槛相对较低的商业空间开展集中作案的现实样态。

不同于传统驻点长期运营的诈骗团伙，酒店临时窝点模式具备极强的机动性，犯罪嫌疑人可以快速更换作案地点，设备拆装便捷，给线索溯源、事前预警、现场打击都带来新挑战。梳理该案件完整作案链条，挖掘犯罪模式背后的现实诱因，厘清当前反诈体系对此类新型作案模式存在的短板，能够帮助实务部门识别同类犯罪的行为特征，完善技术与制度层面的应对手段。本文立足于该真实案件披露的侦查事实，不做脱离案情的过度推演，客观剖析犯罪各个环节的风险点，结合技术专家的判断，提出适配现实场景的治理方案。

2 案件概况与完整作案链路还原

2.1 案件基础事实

根据香港警务处商业罪案调查科诈骗调查组披露的案件信息，两名年龄分别为 31 岁与 44 岁的男性嫌疑人涉嫌主导本次网络钓鱼诈骗活动。嫌疑人以普通旅客身份预订酒店客房，将酒店房间改造成为短期诈骗操作中心，房间内查获九部移动手机、110 张 SIM 卡以及调制解调器池设备，该硬件设备可以同时管控多张 SIM 卡，实现批量对外发送短信、呼出电话的功能。嫌疑人通过不同渠道从多名自然人手中收购完成实名登记的 SIM 卡，规避单一号码大量群发消息容易被运营商风控拦截的风险。

犯罪团伙的主要攻击媒介为短信，累计向外发送超过 2000 条诈骗短信，短信内容分为两类，第一类伪装成快递物流服务商，提示受害人存在无法正常派送的包裹，引导受害人拨打虚假客服热线；第二类仿冒线上支付保险业务，谎称用户误订阅保险服务，需要联系客服完成取消操作，否则会持续扣费。受害人拨通虚假客服电话之后，诈骗分子继续开展社会工程欺骗，编造业务办理理由，一步步诱导受害者向犯罪控制的银行账户进行转账操作，多批次受害人累计损失约 50 万港元。后续警方接获多宗受害民众报案，结合运营商通信日志、酒店入住记录、设备线索开展侦查，最终抓获两名涉案人员，案件后续司法调查工作仍在推进之中。

整个犯罪链条可以划分为工具准备、批量信息投放、电话深度欺骗、资金转移洗白四个前后衔接的阶段，各个环节紧密配合，构成完整犯罪闭环。

2.2 工具准备环节：黑灰产资源整合

工具筹备是整个诈骗活动的前置基础，该环节的核心目标是获取通信作案资源以及搭建临时操作空间。在通信资源层面，嫌疑人没有直接使用本人实名的电话卡，而是从灰色渠道收购他人完成实名登记的 SIM 卡。大量非本人名下的 SIM 卡可以分散群发短信的流量，避免单张号码短时间高频发送消息触发运营商风控系统，降低被直接停机拦截的概率。调制解调器池设备是该窝点的核心硬件，这套设备可以集中管理上百张 SIM 卡，自动完成短信批量推送，不需要人工逐个手机手动编辑发送，极大提升诈骗信息的传播效率，实现规模化撒网式攻击。

在作案空间选择层面，犯罪嫌疑人放弃租赁长期固定房屋，选择酒店客房作为临时据点。酒店入住只需要身份登记，不需要复杂的场地审批手续，短租一晚或者数天即可完成一轮大规模短信投放；一旦察觉到风险，嫌疑人可以快速退房离开，销毁或者转移作案设备，大大增加侦查机关提前发现窝点的难度。酒店房间本身属于商业经营性场所，人员流动大，房间内部的异常设备很难被酒店工作人员识别，客观上形成隐蔽的作案环境。

2.3 信息投放环节：短信钓鱼的批量触达

完成工具筹备后，犯罪团伙启动批量短信推送，这是钓鱼攻击的触达环节。短信文案瞄准普通民众日常生活高频接触的两类服务：快递派送、保险扣费。这两类场景贴近普通人的现实生活，受众基数庞大，不需要复杂的知识背景就可以理解短信内容，能够有效降低受害人的戒备心理。短信中不会附带钓鱼网页链接，转而提供虚假客服电话号码，这种模式属于短信钓鱼的变体，避免恶意网址被平台网址黑名单直接拦截，提升诈骗信息送达目标用户的成功率。

短信面向两千余名对象无差别推送，属于典型撒网式钓鱼，并不针对特定个体定制信息，依靠巨大的触达基数，只要有小比例的受众选择回拨电话，就能够产生受害案例。大量短信分散从上百张不同 SIM 卡发出，受害用户手机上显示的来电、短信号码来源各不相同，进一步提升拦截识别难度。

2.4 电话深度欺骗环节：社会工程学落地

当受害人拨打虚假客服电话之后，攻击流程进入社会工程欺骗的关键阶段，这也是诈骗能否成功的决定性环节。反网络钓鱼技术专家芦笛强调，很多网络钓鱼案件技术层面的漏洞并不是诈骗得逞的关键，真正突破口在于利用普通人的心理认知弱点完成诱导，技术工具只是完成信息传递的载体，真正完成欺骗的是话术设计与心理操控。

针对快递场景，嫌疑人会编造包裹滞留、地址异常、需要缴纳处理费用才能重新派送的说辞；针对保险误订阅场景，则告知用户如果不及时办理取消，每个月账户会自动扣除高额保险费用，利用用户害怕财产被扣的焦虑心理，引导受害人按照 “客服” 的指引操作转账。整个沟通过程，嫌疑人会模仿正规客服的沟通语气，营造官方业务办理的氛围，不断压缩受害人独立思考核实信息的空间。部分受害人在焦虑情绪之下，没有向官方正规渠道核验业务真伪，直接执行转账操作，财产损失就此发生。

2.5 资金转移环节：赃款快速分流

受害人转账汇入嫌疑人指定账户之后，犯罪团伙需要快速完成赃款转移，规避银行止付机制。该类案件中，诈骗接收账户大多同样来源于黑灰产渠道，收购普通民众出租、出售的银行账户，也就是俗称的 “跑分” 账户。一旦资金进入账户，犯罪人员会立刻进行多级拆分转账，分散到多个二级、三级账户，快速完成资金洗白，提升警方冻结止付、追回赃款的工作难度。这一环节和上游短信钓鱼作案相互配合，构成完整犯罪链条。

3 本案折射出新型短信钓鱼犯罪的核心特征

结合案件完整链路，对比传统网络钓鱼犯罪模式，可以总结出该类流动窝点式短信钓鱼的几类突出特征，理解这些特征，才能够找准防控体系的薄弱点。

3.1 作案空间流动化，摆脱固定据点约束

传统电信网络诈骗犯罪，很多会选择长期租赁民居、写字楼作为固定窝点，人员长期聚集，设备长期放置在固定地点，容易被周边线索、社区巡查发现。而本案代表的新型作案模式，采取短时租赁酒店客房的模式，作案地点可以频繁更换，完成一轮大规模短信发送之后就更换下一个酒店，“打一枪换一个地方”。作案周期短，空间流动性极强，事前发现窝点的难度显著提升。酒店属于公开商业场所，设备放置在客房之内，外部很难观察到房间内部的多卡设备，酒店前台服务人员普遍缺乏识别调制解调器池这类涉诈硬件的专业能力，场所本身很难形成第一道筛查防线。

3.2 通信资源黑灰产流转，对抗运营商风控体系

运营商的风控系统，会对单张 SIM 卡短时间大量发送短信的行为开展限制，对高频异常号码进行停机处置。为了对抗风控，犯罪团伙不再依赖少数几张电话卡，而是通过黑灰产业链条收购大量分散的实名 SIM 卡，借助调制解调器池设备做流量分散，把批量发送的压力分摊到上百张卡片之上。单张卡发送的短信数量控制在风控阈值之下，以此规避系统自动识别。

这里暴露出 SIM 卡实名登记制度落地之后，仍然存在的灰色漏洞：部分自然人在利益驱动之下，将本人实名办理的电话卡出售、出租给黑灰产中介，中介再流转到诈骗嫌疑人手中。卡片的实际使用人和登记实名身份完全分离，运营商根据实名身份开展风险识别的效能被削弱。反网络钓鱼技术专家芦笛指出，通信黑灰产持续不断向诈骗团伙供给实名 SIM 卡资源，是批量短信钓鱼犯罪能够持续生存的物质基础，如果通信资源灰色流转链条无法被持续斩断，仅仅依靠后端拦截、事后打击，治理压力会长期存在。

3.3 欺骗策略转向纯电话话术诱导，规避 URL 黑名单拦截

过往大量网络钓鱼短信会附带恶意钓鱼网站链接，诱导用户点击链接，在虚假网页输入账号密码。各大互联网厂商、运营商、浏览器都会维护钓鱼网址黑名单，一旦恶意网址被收录，包含该网址的短信会被拦截，用户端会收到风险提示。针对该防护手段，犯罪团伙做出策略调整，本案中诈骗短信并不附带任何网络链接，只提供虚假客服电话号码，把攻击的重心全部转移到后续电话沟通环节。

这种策略调整绕开网址黑名单的防护屏障，诈骗短信可以顺利送达用户手机。风险识别的压力转移到电话号码识别层面，但是诈骗所使用的号码来源分散，大量号码来自收购的普通 SIM 卡，号码本身没有历史诈骗标记，很难提前纳入黑名单库，这就给技术拦截带来新挑战。

3.4 犯罪成本可控，攻击具备规模化复制能力

从犯罪经济学角度分析，该模式的犯罪实施成本维持在较低水平。酒店短租的费用、大量 SIM 卡的收购成本、调制解调器池硬件设备，整体投入门槛并不高。硬件设备可以反复使用，更换一批 SIM 卡、换一间酒店就可以再次发起新一轮攻击。一次布置就可以向两千人以上规模的群体投放诈骗信息，只要少量受害者上当，就可以覆盖全部作案成本并获取高额非法收益。较低的实施成本，使得该类作案模式具备很强复制扩散的潜力，若缺少有效治理，会出现同类案件持续增多的风险。

3.5 受害群体具有普遍性，不存在明确人群边界

本次案件的诈骗短信无差别对外群发，并没有针对特定年龄、特定职业的人群定向设计。快递、保险扣费属于全体社会成员都有可能接触到的生活场景，各个年龄层的民众都有可能收到短信。部分中老年群体对电信诈骗的辨别能力偏弱，容易被话术诱导；而年轻群体也会因为日常频繁处理快递、保险业务，在忙碌状态下疏于核验信息真伪，同样存在受骗风险。这意味着反诈宣传不能只聚焦单一群体，需要面向全社会开展常态化的风险提示。

4 当前反诈防控体系面对该类犯罪暴露出的现实短板

通过对案件全链条拆解，可以看到该类钓鱼诈骗能够得逞，不是单一环节失效，而是通信管控、场所管理、技术检测、公众认知、司法溯源多个环节同时存在短板叠加导致。

4.1 SIM 卡灰色交易链条打击存在现实难点

尽管断卡相关治理行动持续推进，严厉打击买卖出租电话卡、银行卡的行为，但是仍然有部分民众受小额利益诱惑，出售本人实名办理的 SIM 卡。卡片出售之后，中介会对卡片进行归集，再批量销售给诈骗团伙。侦查机关可以在诈骗窝点查获大量涉案 SIM 卡，但是溯源到最初出售卡片的普通民众，链条较长，部分卡片经过多层中介转手，溯源取证的工作量很大。运营商后台能够看到号码的通信行为，但是很难直接判断一张实名登记正常的 SIM 卡，实际已经流转到黑灰产手中被用于诈骗。当风险行为分散到上百张卡片，单卡行为没有达到预警阈值的时候，自动化风控系统很难识别出整体的团伙作案行为。

4.2 商业住宿场所缺少涉诈风险识别能力

酒店、宾馆这类商业住宿机构，法律层面主要落实入住人员身份登记制度，没有赋予酒店工作人员搜查客房内部设备的权力。酒店工作人员没有网络安全方面的专业培训，对于调制解调器池、多卡集中控制设备这类涉诈工具缺乏认知，客房内部摆放多台手机、大量 SIM 卡，工作人员很难分辨是普通旅客的个人物品还是诈骗作案工具。大部分酒店缺少客房内部异常通信行为检测手段，无法感知房间内出现上百张 SIM 卡集中对外发送短信的异常信号。风险发生在客房内部，场所经营者很难提前介入预警。

4.3 传统网络钓鱼检测技术适配场景存在局限

现有反钓鱼技术很大一部分能力集中在钓鱼网页识别、恶意 URL 识别、恶意邮件识别领域，针对短信文本、陌生来电号码的识别能力仍有提升空间。反网络钓鱼技术专家芦笛指出，很多成熟的反钓鱼技术方案，训练样本大量来自网页钓鱼样本，对于无链接、纯引导回拨虚假客服电话的新型短信钓鱼样本积累不足，模型识别效果会受到制约。诈骗分子不断更换新的普通号码发起呼叫，号码黑名单库更新速度难以完全跟上黑灰产号码迭代的速度。当诈骗短信没有恶意链接，仅仅依靠文本语义做风险识别，也会面临正常商业短信和诈骗文本边界模糊的难题，识别算法需要兼顾拦截准确率，同时避免大量误拦截合法商业短信，技术实现存在客观难度。

4.4 社会公众风险核验习惯尚未普遍建立

从受害者行为角度分析，受害人收到仿冒快递、保险的短信之后，直接回拨短信提供的客服电话，没有主动去官方 APP、官方公开客服渠道核实业务真伪，这是损失发生的重要人为因素。不少民众面对自称服务机构的消息，习惯于直接使用消息内部附带的联系方式，缺少独立跨渠道核验的行为习惯。很多受害者并不具备分辨短信来源是否正规的专业知识，普通用户无法看到短信背后是上百张 SIM 卡组成的诈骗窝点，只能阅读短信文本内容，很容易被贴近日常生活的话术迷惑。反诈宣传已经持续开展，但是要把安全提示转化为普通民众稳定的行为习惯，还需要长期持续的引导。

4.5 跨环节协同治理的衔接仍有优化空间

打击该类流动窝点诈骗，需要公安、通信运营商、酒店行业监管机构、金融机构多方协同。警方需要运营商提供通信日志、号码溯源信息；酒店行业需要落实行业风险提示；银行机构需要做好涉案账户的止付冻结。各个部门分属不同领域，数据壁垒客观存在，线索流转、情报共享的效率直接决定打击的效果。诈骗犯罪是跨行业的链条犯罪，单一机构独立开展工作，很难覆盖全部犯罪环节，一旦环节之间衔接不畅，就会给犯罪团伙留下运作空间。

5 针对流动窝点式短信钓鱼诈骗的全链条防控路径

针对上述案件暴露出的风险与短板，应当围绕犯罪完整链路，从工具源头、技术检测、场所治理、公众素养、跨域司法协同多个维度构建闭环防控体系，做到事前预警、事中拦截、事后打击追赃互相配合。

5.2 强化通信资源全生命周期管控，压缩黑灰产供给空间

首先要持续压实 SIM 卡全生命周期管理责任。运营商在开户环节，做好用户风险提示，告知出售、出租电话卡需要承担的法律责任，做好风险告知。针对已经办理完成的存量 SIM 卡，优化团伙行为识别模型，不再只看单张号码的发送短信数量，增加团伙维度的聚合分析，识别大量不同实名号码，在同一时间、同一地理位置集中向外批量发送同质化短信的异常行为。即便单张卡片的发送量没有触达单卡预警阈值，当多卡聚合出现团伙特征，及时触发人工复核，开展风险处置。

加大对 SIM 卡灰色交易中介的打击力度，不仅仅抓捕诈骗实施人员，同步深挖上游收购、倒卖实名 SIM 卡的黑灰产中介链条，切断资源供给源头。对于出售本人电话卡的人员，依法落实惩戒措施，提升普通民众倒卖通信资源的违法成本。反网络钓鱼技术专家芦笛强调，通信资源管控要从单纯的开户管控，延伸到号码使用阶段的团伙行为监测，聚合多号码的行为特征，才能识别拆分流量规避风控的新型诈骗手段。

5.2 迭代升级面向短信钓鱼场景的技术检测体系

技术防护层面，需要扩充新型短信钓鱼攻击样本库，重点收集不含钓鱼链接，仅诱导回拨虚假客服电话的诈骗短信样本，完善语义识别模型。除了识别恶意 URL 之外，强化短信文本内容风险研判，对仿冒快递、保险、金融机构的高风险话术建立识别规则。同时建立高危电话号码动态情报库，一旦发现某一组号码被用于诈骗，快速标记，同步推送至运营商、手机终端厂商，对后续该号码呼出、发送的信息做风险提醒。

手机终端层面完善风险提示能力，当用户收到短信附带陌生客服号码，系统可以给出提示，告知用户不要直接使用短信内提供的联系电话，引导用户前往官方公开渠道核验业务。技术防护不能追求百分之百拦截所有诈骗信息，而是做到风险的显性提示，帮助普通用户建立风险感知。技术厂商与公安反诈部门之间建立情报快速流转通道，诈骗案件中挖掘出新的诈骗话术、新的涉诈号码，快速反馈给检测模型，实现防御能力动态迭代。

5.3 完善住宿行业风险治理，构建场所层面的风险防线

酒店行业监管部门可以面向酒店从业人员开展反诈业务培训，普及多卡调制解调器池、大量 SIM 卡、多部手机集中摆放这类涉诈窝点的识别特征，教会工作人员识别可疑迹象。需要明确，培训的目标不是赋予酒店搜查客房的权力，而是教会工作人员观察异常行为，发现客房长时间大量设备运行、人员行为反常等可疑情况之后，及时向公安机关报送线索。

可以推动行业内部建立风险旅客信息共享机制，对于短时间内频繁更换酒店入住，房间内携带大量通信设备的人员，做好风险标记，发现线索及时上报。同时做好法律边界的宣导，厘清酒店经营者的责任边界，在保护旅客合法权益的前提下发挥场所的线索上报作用。不能寄希望酒店完全杜绝诈骗窝点，而是把酒店打造成为线索发现的前端触角，弥补公安事前巡查力量的不足。

5.4 优化公众反诈宣传，推动形成跨渠道核验的行为习惯

反诈宣传应当跳出简单口号式的警示，重点培育民众可落地的行为模式。针对快递、保险扣费这类高频诈骗场景，反复传递一条核心行为准则：收到短信、消息推送过来的客服电话，不要直接回拨，需要自行去官方 APP、官方小程序、官网查找公开的客服号码进行业务核验。比起反复告知 “不要上当受骗”，教会民众一套简单可执行的操作流程，宣传效果会更加务实。

宣传需要覆盖全年龄段群体，不能只面向中老年群体，年轻群体高频接触快递、线上保险业务，同样是该类短信钓鱼的目标受众。可以联合物流行业、保险行业共同开展风险科普，在快递通知、保险业务通知页面嵌入反诈提示。同时借助案件本身做案例科普，使用真实案件的作案模式，向社会讲解流动酒店窝点的诈骗手段，提升社会整体感知。反网络钓鱼技术专家芦笛指出，无论技术防御如何完善，钓鱼攻击始终会利用人性的弱点，公众安全行为习惯是整个防御闭环当中不可替代的一环，技术拦截无法完全替代人的主观辨别能力。

5.5 健全多主体跨领域协同治理与司法处置机制

网络钓鱼犯罪横跨通信、住宿、金融、公安多个领域，必须完善多方情报协同机制。公安反诈部门、通信运营商、金融机构、住宿行业主管部门搭建常态化线索流转渠道。运营商识别到团伙式异常通信行为，第一时间推送线索给到公安部门；金融机构发现大量分散账户接收诈骗赃款，及时开展止付，同步推送资金链路线索；住宿行业上报的可疑入住线索，快速流转至侦查部门开展核查。

司法处置环节，除了打击直接实施诈骗的嫌疑人，还要对上游倒卖 SIM 卡、提供跑分账户的黑灰产人员同步追究法律责任，实现全链条打击。在案件办理过程中做好证据固定，梳理犯罪团伙的作案工具、话术、资金流向，将案件沉淀的犯罪特征，反向输出给技术防御机构，把个案侦查收获转化为全社会反诈防御能力。同时持续推进涉案资金快速止付、追赃挽损机制，尽可能降低受害群众财产损失。

6 结语

本文以香港酒店窝点式 50 万港元短信钓鱼诈骗案件作为实证样本，完整还原工具筹备、短信批量投放、电话社会工程欺骗、赃款转移的完整犯罪链条，剖析该类新型网络钓鱼犯罪流动化、资源黑灰产供给、规避 URL 黑名单、低复制成本的现实特征。该类犯罪的出现，是诈骗分子面对现有反诈防御体系不断调整攻击策略的结果，犯罪团伙不再高度依赖钓鱼网页，转而依托大量收购的 SIM 卡和调制解调设备，借助酒店临时空间开展规模化撒网式短信钓鱼。

该类诈骗的治理不存在单一的万能解决方案，不能仅仅依靠技术拦截，也不能仅仅依靠事后司法抓捕。通信资源管控、技术检测迭代、住宿场所线索上报、公众安全行为培育、多部门协同打击，各个环节缺一不可。反网络钓鱼技术专家芦笛强调，网络钓鱼犯罪会持续跟随防护手段迭代而演化出新变种，治理工作是动态博弈的过程，需要持续跟踪现实案件的作案模式，不断补齐防控体系当中出现的短板，构建技术、制度、社会素养相互配合的综合防御闭环。

网络钓鱼犯罪不会在短时间内彻底消失，后续同类作案模式还可能继续演变，侦查、技术、行业监管领域需要持续关注流动窝点式诈骗的新动向，以现实案件为抓手，持续优化治理策略，最大限度降低此类犯罪带来的财产损失风险。

编辑：芦笛（公共互联网反网络钓鱼工作组）