「我不小心把驗證碼傳給你了」:WhatsApp 帳號就是這樣被盜的

你收到一封簡訊,裡面有一組你從未申請過的 6 位數驗證碼;幾乎同一時間,一位朋友、學校家長群組裡的某個人,或一位「WhatsApp 技術人員」傳來訊息:「不好意思,我不小心把一組驗證碼傳到你手機了,可以轉給我嗎?」這看起來只是舉手之勞,但這組驗證碼就是你帳號的鑰匙。一旦傳出去,別人就會把你的 WhatsApp 或 Telegram 號碼註冊到他自己的手機上,你會失去存取權,詐騙者則冒充你傳訊息給你所有的聯絡人。規則很簡單,沒有例外:驗證碼永遠不要告訴任何人。

帳號是怎麼被盜的?

WhatsApp 和 Telegram 透過手機號碼辨識你的帳號。當有人在新手機上安裝應用程式並輸入一個號碼時,服務會透過簡訊(或電話,或在應用程式內)向號碼持有人的手機傳送驗證碼,以確認號碼屬於本人。詐騙者需要的,正是剛剛傳到你手機上的那串數字。

詐騙流程通常是這樣:

1. 詐騙者在自己的手機上輸入你的號碼並開始註冊。你收到附有驗證碼的官方簡訊。
2. **他傳訊息向你索取驗證碼。**通常是用一個已經被盜的真實熟人帳號傳來的,所以訊息看起來來自你信任的人。有時他也會冒充 WhatsApp 客服、抽獎或投票活動的主辦人,或是「傳錯號碼」的人。
3. 他催促你。「很急」、「我的帳號要被停用了」、「一下下就好」。
4. **你一旦傳出驗證碼,帳號就轉移到他的手機上。**你的 WhatsApp 會被登出,詐騙者往往還會開啟他自己設定的雙步驟驗證,讓你難以奪回帳號。
5. **他冒用你的身分。**他傳訊息給你的聯絡人和群組,急著借錢、要求轉帳或即時付款(在西班牙常用當地的手機支付服務 Bizum),或再次索取「我不小心傳給你的驗證碼」。詐騙就這樣一環接一環地延續下去。

有哪些危險訊號?

• **你收到自己沒有申請的驗證碼。**這是最明顯的訊號:有人正試圖登入你的帳號。
• **簡訊裡明確寫著不要告訴任何人。**WhatsApp、Telegram、你的銀行以及幾乎所有服務的官方簡訊都會這樣提醒。
• **有人在聊天中向你索取驗證碼,即使是朋友。**沒有人能「不小心」把自己帳號的驗證碼傳給你:驗證碼一定是傳到正在註冊的那個號碼。
• **「技術支援」主動聯絡你。**WhatsApp 和 Telegram 不會透過聊天、簡訊或電話向你索取驗證碼。
• 對方催得很急,或理由很奇怪:抽獎、投票、帳號「快要被停用」。

如果有人正在向我索取驗證碼,我現在該怎麼做?

1. 不要轉傳驗證碼,也不要在電話裡唸出來。哪怕一部分也不行。
2. **透過其他管道確認。**如果訊息來自熟人,請撥打他平常的號碼或當面詢問。他的帳號很可能已經被盜,請提醒他。
3. 立即開啟雙步驟驗證(方法見下文)。這樣即使有人拿到驗證碼,也還需要一組只有你知道的 PIN 碼。
4. 在應用程式內封鎖並檢舉該聊天。如果訊息來自陌生號碼,你也可以在騷擾號碼目錄中檢舉。
5. 提醒其他人:如果有人冒用朋友的帳號,請在你們的共同群組裡告訴大家,免得更多人上當。

如何開啟雙步驟驗證?

這是防範此類詐騙最有效的措施,一分鐘就能設定好:

• **WhatsApp:**設定 帳號 雙步驟驗證 開啟。選擇一組你在其他地方都沒用過的 6 位數 PIN 碼,並新增一個電子郵件地址,以便忘記時可以重設。
• **Telegram:**設定 隱私與安全性 兩步驟驗證。建立一組密碼,並新增用於找回的電子郵件。

這組 PIN 碼或密碼同樣不要告訴任何人。選單可能因應用程式版本不同而略有差異,但該選項的名稱始終如此。順便檢查一下已連結的裝置(WhatsApp:設定 已連結的裝置;Telegram:設定 裝置),結束所有你不認得的工作階段。

如果我已經把驗證碼傳出去了怎麼辦?

盡快行動。越早處理,越容易奪回帳號:

1. **在自己的手機上重新註冊你的號碼。**打開 WhatsApp,輸入你的號碼,用簡訊收到的新驗證碼完成驗證。這樣詐騙者的工作階段就會被關閉。
2. 如果要求輸入一組你不知道的 PIN 碼,代表詐騙者已經開啟了他自己的雙步驟驗證。他無法永遠阻止你找回帳號:經過幾天的等待期後,WhatsApp 允許你在沒有該 PIN 碼的情況下重新註冊。在此期間,請在應用程式內(設定 說明)聯絡客服,說明你的帳號被盜。
3. 在 Telegram 上,用你的號碼登入,進入設定 裝置,點選「結束所有其他工作階段」。接著設定你的兩步驟驗證密碼。
4. 透過其他方式提醒聯絡人(簡訊、電話、社群媒體或透過家人):「我的 WhatsApp 被盜了,凡是以我的名義借錢或要驗證碼的訊息,請一律忽略。」
5. 如果驗證碼來自你的銀行或支付應用程式,請立即撥打銀行的官方電話(印在卡片背面或銀行官網上的號碼),凍結相關交易。
6. 保留證據:訊息截圖、聯絡你的號碼以及時間。

應該去哪裡報案,誰能提供協助?

• **警方:**在西班牙,可聯絡國家警察 Policía Nacional(091)或國民警衛隊 Guardia Civil(062);在其他國家或地區,請聯絡當地警方(在台灣,例如撥打 165 反詐騙諮詢專線或 110)。請攜帶截圖報案,尤其是在你的身分被冒用或有人損失金錢的情況下。傳出驗證碼並不代表你有錯:你是受騙的受害者。
• **資安求助:**在西班牙,INCIBE 的 017 專線免費且保密,會一步步引導你找回帳號並保護裝置;INCIBE 轄下的網路使用者安全辦公室(OSI)也發布了安全設定 WhatsApp 和 Telegram 的指南。在其他國家或地區,請聯絡當地的國家資安機構。
• **112:**僅限緊急情況或迫切的威脅(或你所在地的緊急電話)。

如果你的一些聯絡人被以你的名義借錢,也請閱讀 WhatsApp 上的「孩子出事了」詐騙是如何運作的:這通常就是帳號被盜之後的下一步。

常見問題

我收到一組沒申請過的驗證碼,但沒告訴任何人。我有危險嗎? 沒有。沒有驗證碼,他們就無法登入。這只代表有人試過你的號碼;忽略簡訊,不要回覆索取驗證碼的人,並開啟雙步驟驗證。

是一位真正的朋友向我要的,怎麼會是詐騙? 因為傳訊息給你的很可能不是你的朋友,而是盜用他帳號的人。做任何事之前,先打電話給他。

他們看得到我以前的聊天紀錄嗎? 一般來說,在新手機上註冊帳號時,除非他們能存取你的備份,否則你以前的聊天紀錄不會被下載。但在他們控制帳號期間,可以用你的名義傳訊息,也能看到新收到的訊息。

換號碼有用嗎? 沒有必要。只要找回帳號並開啟雙步驟驗證就足夠了。

總結

簡訊收到的驗證碼只屬於你,不屬於任何其他人:不屬於朋友,不屬於「技術支援」,也不屬於抽獎活動。有人索取時,不要傳送,透過其他管道確認,並開啟雙步驟驗證。如果已經傳出去了,請重新註冊號碼、提醒聯絡人並報案。如果這次嘗試來自陌生號碼,請在 NoCall 騷擾號碼目錄中檢舉,讓其他人及時識破。