SS7与Diameter信令漏洞引关注：跨境账号短信验证与通话面临网络侧风险

据 BleepingComputer 于2026年10月30日发布的内容，移动通信信令协议 SS7 与 Diameter 中的缺陷，可能被攻击者用于追踪手机位置、截获通话和短信验证码，以及冒充移动用户。来源介绍了移动服务商 Cape 对攻击机制的解释及其安全防护思路。值得跨境用户注意的是，这类攻击不一定需要先入侵手机设备，风险也可能来自运营商网络之间处理通信请求的方式。

问题出在网络间信任，而不只是手机本身

SS7 与 Diameter 属于移动通信网络使用的信令协议。按照来源摘要，攻击者能够利用网络之间的信任关系，滥用相关信令流程，从而触及位置、通话、短信及用户身份等敏感信息。这意味着，即使手机没有安装可疑应用，也不能仅凭设备运行正常，就排除所有通信安全风险。

这与常见的钓鱼或恶意软件攻击有所不同：后者往往诱导用户点击链接、提交密码或安装程序，而信令攻击的关键环节位于网络侧。来源没有提供足以判断所有用户受影响程度的细节，因此不宜将其理解为每个号码都正在遭到监听，也不能据此认定某个国家或运营商必然存在可被利用的漏洞。

跨境影响：手机号可能成为多个账号的共同薄弱点

对依赖海外手机号管理平台账号、接收支付通知或处理远程办公登录的用户而言，核心问题是短信验证码并不等于账号安全的完整保障。如果验证码被截获，攻击者可能进一步尝试登录或恢复账号；能否成功，仍取决于平台是否还要求密码、设备确认或其他校验条件，不能把验证码泄露直接等同于资金已经被盗。

同一个号码若同时绑定邮箱、海外平台和支付服务，通信风险就可能牵动多个账户。位置追踪与通话截获还涉及隐私及工作沟通保密。跨境使用者不应把“能正常漫游、能收到短信”视为通信链路安全的证明，但也没有必要在缺少证据时频繁换号，反而影响正常的账号恢复与业务联系。

用户可以怎样减少对短信通道的依赖

• 检查重要账号的验证设置：平台支持时，优先考虑通行密钥、安全密钥或验证器应用，减少仅靠短信完成登录的情况。
• 核对账号恢复入口：即使日常登录不用短信，也要确认找回密码时是否仍可仅凭手机号重置。
• 为支付与办公账号保留独立防线：启用可用的登录提醒、设备审核及交易确认，并妥善离线保存恢复码。
• 出现异常验证码或登录提醒时，通过平台官方入口核查会话和安全设置，必要时联系运营商与平台处理。

上述措施是降低账号暴露面的通用做法，并不代表用户能够自行修复运营商信令问题。VPN不能替代移动网络侧的信令防护：它主要保护所承载的互联网流量，不能据此保证传统短信、通话或运营商位置相关流程不受影响。

来源同时介绍了 Cape 安全导向移动服务的防御思路，但摘要未提供足以独立评估防护范围与效果的技术细节。对跨境用户而言，更稳妥的选择是核实服务商的防护说明与适用条件，同时把关键平台、支付和办公账号从单一短信验证依赖中逐步分离。