近日，在阿姆斯特丹举办的计算机安全会议--黑帽欧洲（Black Hat Europe）--的一项演示中，研究人员宣称已经找到一种方法可以截获手机发出或接收的数据，他们说，此项攻击可用于收集密码或将有害程序植入设备。

　　移动电话除了话音业务以外，在传输数据上也正发挥着前所未有的作用，他们正被越来越多地用于像网上银行、互联网搜索及下载手机游戏等敏感活动中。

　　根据一家意大利的咨询公司移动安全实验室（Mobile Security Lab）的研究员罗伯托?加西拉（Roberto Gassira）, 克里斯托法罗·穆恩（Cristofaro Mune）, 和罗伯托?皮切里罗（Roberto Piccirillo）的理论，这种新的攻击方式需要依靠一项允许移动运营商通过手机短信的形式对设备进行设定的协议。攻击者可以根据此项协议通过对这种短信造假的方式来为被攻击设备创建自己的设置。这可以使得攻击者将手机发送出去的数据通过他自己控制的服务器重新路由。

　　研究人员称，这项技术应该可以在任何支持此项协议的手持设备上应用，只要攻击者知道被攻击设备处于哪个网络并且网络本身也没有把这种短消息屏蔽掉就可以了。

　　想让攻击奏效的话，仍然需要一定的欺骗技巧。一般来说，想要从远程向一个设备发送设定，运营商会先发送一个包含PIN码的短信息。然后他们才会发信息对电话进行重设置。为了安装这些新的设置，用户必须先行输入PIN码。

　　因此，攻击者就需要说服受害者输入PIN码，并接受发到电话上的恶意设置。但是加西拉，穆恩和皮切里罗相信，这些应该不难做到。攻击者可以用“服务提供商”或者“短信配置”的名义发送信息，告诉用户由于网络错误引起的问题，需要更改设备的部分设置。对于很多手提设备来说，配置结果并不向用户显示，这就使得受害者察觉到问题的可能性非常小。

　　一旦电话已被配置好来通过攻击者的服务器传送数据，就会显示出用户的登录密码或者cookies。研究人员表示，攻击者同样还有可能加入一些未经同意的内容，比如说向用户正使用电话浏览的网页添加一些未经请求的广告信息。通过结合这项技术以及其他的一些漏洞，攻击者甚至可以利用移动设备锁定通常受持有者网络保护的资源。

　　加利福尼亚大学伯克利分校计算机科学系研究无线安全的副教授大卫·瓦格纳（David Wagner）告诫说，为了确认发现这项漏洞所需要的条件以及问题的普遍性，还有很多工作要做。“我在论文中确实看到了一些警告，他们在我脑中提出了一些关于如果这个漏洞被发现了，它将会怎样影响消费者，”瓦格纳说。尤其是，他解释到，一些手机提供商能否屏蔽伪造信息、或者其他人能否阻止攻击者转移互联网信息流？目前仍然不够明朗。同时，很多用户可能不会被攻击所愚弄。“如果任何这样的一些条件没有得到满足，攻击都会被屏蔽掉，”瓦格纳说。

　　研究人员承认，移动运营商可以通过安装恰当的安全措施来阻止攻击的发生。比如，运营商可以检查那些有泄密迹象的配置协议的文本信息，并查看这些是否是由已授权的来源发出。其他的措施如向用户显示他的设备如何已被重置，或者监控调离开持有者网络的互联网通信等等，都可能起到一定的作用。

　　穆恩说，攻击者“可以在非常多的网络和手持设备上取得成功”，他的团队在欧洲广泛网络中的很多手持设备上已经测试成功。尽管研究人员们并没有和任何的移动运营商合作来解决这个漏洞，但是他们表示，已经通知了一些相关组织，并愿意在需要的情况下提供帮助。