一、诈骗流程全景图：从「裸号」到「资金清零」仅需30分钟

数据购买：黑产通过地下「裸号库」筛选近期有高积分特征的手机号，批量发送「积分即将清零」短信；

钓鱼页面：短信内嵌「https」短链，域名与官网高度相似（如10086-cn、icbc-mobi），点击后跳转「积分商城」；

套取信息：页面要求输入「银行卡+手机号+验证码」声称兑换话费，实则通过后台实时监听验证码，同步登录网银；

资金转出：利用「小额免密+快捷支付」功能，在数分钟内完成多笔转账；

痕迹清理：域名24小时内下架，服务器使用境外CDN，增加警方追踪难度。

二、2026年新型特征：「客服来电+短信」双通道验证

来电显示为「95×××」或400号码，与短信域名保持一致，增强可信度；

人工客服提示「兑换需要短信验证码」，诱导用户主动报出验证码，规避「银行不会索要验证码」的公众认知；

使用「闪信」或「弹窗短信」，用户无法直接转发或复制链接，降低家属二次提醒概率。

三、第一时间处理流程（黄金30分钟）

立即断网

关闭Wi-Fi与移动数据，阻止后台监听验证码。

拒绝一切验证码

无论「兑换」「安全保护」或「资金审查」，不向任何人透露短信验证码。

退出并清除浏览数据

长按链接→复制→在浏览器打开→立刻退出，避免驻留恶意脚本；随后清除浏览记录与缓存。

挂失+冻结

拨打银行客服→口头挂失银行卡；

登录第三方支付App→安全中心→冻结账户或关闭「小额免密」；

拨打运营商客服→挂失SIM卡，防止被冒用补卡。

保存证据

截图短信内容、来电记录、浏览器历史、转账记录，后续报案与申诉必备。

四、验证短信真伪的四种方法

域名比对：将链接复制到备忘录，查看二级域名是否与官网完全一致（10086.cn、icbc.com.cn），「-cn」「.top」「.vip」均为仿冒；

积分官方查询：

移动用户发送「JF」至10086；

联通用户登录联通APP→积分商城；

电信用户发送「105」至10001；

若积分余额与短信所述不符，可判定为钓鱼。

来电回拨验证：挂断后通过官网公开电话回拨，若客服否认曾致电，即为冒充。

闪信/弹窗识别：安卓长按消息→详情→若显示「发送者：非备案端口」或「无退订」，高危。

五、追回资金与法律救济

110报案

携带身份证、银行卡、证据截图到属地派出所报案，获取《接报案回执》。

银行异议申诉

48小时内向发卡行提交《非本人交易声明》+报案回执，银行需在3个工作日内启动「差错争议」流程，对未清算资金可先行冻结。

第三方支付争议处理

支付宝/微信支付→账单详情→对交易发起「争议投诉」，上传警方回执，平台先行垫付赔付，再由警方追赃。

民事索赔

若钓鱼网站托管商、域名注册商存在过失，可依据《网络安全法》第68条提起民事诉讼，已有判例判决托管商承担30%连带赔偿责任。

六、长期防护建议

启用「副号」：网购、外卖使用运营商小号，主号仅用于金融与亲友；

关闭「小额免密」：将限额设为0，强制输入密码或指纹；

开通「交易短信」：任何金额变动均实时推送，便于第一时间发现异常；

定期查征信：每半年登录中国人民银行征信中心，查看是否出现未知贷款或信用卡开户；

关注官方公告：运营商、银行积分活动只在App与官网发布，不会通过短链要求输入银行卡与验证码。

积分兑换短信之所以屡禁不止，正是利用了消费者对「积分即将清零」的焦虑心理。牢记「积分查询走官方App、短信链接不点击、验证码绝不透露」三原则，再配合及时的挂失、冻结与报案，就能把损失控制在零。技术防护与法律维权并行，才能真正让「积分兑换」回归便民本质，而不是成为诈骗分子的提款机。