切勿泄露验证码：OTP 诈骗是如何运作的
切勿泄露您的验证码：这一句话，是防范 OTP（一次性密码）诈骗最重要的防线。通过短信收到的六位数字验证码，是登录账户或批准交易的钥匙。因此，诈骗者通常不会费力破解您的密码，而是设法说服您把验证码念给他们听。本文将说明 OTP 诈骗的运作方式，以及如何保护自己。
什么是 OTP，为什么它如此有价值？
OTP，即一次性密码，是在登录或交易过程中发送的短期有效验证码，用来确认账户确实属于您。它通过短信、电子邮件或应用通知送达。
验证码之所以有价值，是因为它是第二步：即使有人知道您的密码，没有验证码也无法进入。但是，一旦验证码被告诉别人，这层保护就会消失。因此，任何正规机构、员工或朋友，都不会要求您通过电话、短信或任何其他渠道把验证码念出来。
黄金法则是：验证码只会为您自己发起的操作而发送，并且只能输入到相关应用或网站的屏幕上。它绝不应该告诉任何人，也绝不应该出现在其他任何地方。
OTP 诈骗是如何运作的？
诈骗者会尝试登录某个账户或发起一笔交易，此时服务会向您的号码发送验证码。随后，他们会设法说服您把验证码告诉他们。为此，他们会为您编造一个“理由”。常见的套路包括：
- 假冒银行或机构来电： “您的账户出现可疑活动，请把您手机上收到的验证码读给我，以便核实。”
- 二手交易中的买家： “我已经付款了，请把您收到的验证码转给我确认。”
- 冒充您认识的人的短信： “我不小心输错了您的号码，您能把收到的验证码发给我吗？”
- 快递或送货员： “请告诉我配送的验证码。”
- 假冒技术支持： “请告诉我验证码，我们来帮您恢复账户。”
- 抽奖或奖品： “为了发放您的礼品，我们需要核实您的身份。”
这些套路最终指向同一点：验证码替代了您的批准。您把它念出来，实际上就是亲手授权了诈骗者的操作。
危险信号：如何识别诈骗者
- 紧迫和施压： “现在就告诉我，否则您的账户会被关闭 / 您的钱会不见。”
- 收到意料之外的验证码： 如果验证码是在您没有任何操作的情况下到达的，可能有人正在尝试进入您的账户。请不要与任何人分享。
- 任何要求您念出验证码的人： 无论理由是什么，索要验证码的一方都是假的。
- 似乎了解机构的细节： 诈骗者可能知道您的姓名、您的银行或您最近的一笔交易；这并不能证明他们是真实的。
- 不让您挂断： 让您一直保持通话，或告诉您“不要和任何人商量”，是严重的警告信号。
- 营造信任感： 友好或非常专业的语气并不能证明对方诚实。
短信中的验证码通常会附带“请勿与任何人分享此验证码”的提醒。请认真对待。
如果您已经泄露了验证码，该怎么办
请迅速行动，但不要慌乱：
- 立即结束通话，停止与对方交流。
- 使用安全的设备，更改相关账户的密码，并退出所有登录会话。
- 检查您的两步验证设置和找回信息（邮箱、手机），并删除您不认识的设备。
- 如果您泄露了银行或支付验证码，请立即致电银行，让您的银行卡或账户受到保护。
- 如果您在其他地方也使用了同一密码，请一并更改。
- 向该服务、您的银行以及相关部门举报此事件，并保留短信和通话记录。
不必因此感到难堪：这些手段的设计本身就很有说服力，即使是谨慎的用户也可能上当。关键在于尽快举报。
保护习惯
- 在心里牢记这条规则： “验证码 = 不告诉任何人。” 也要和家人谈谈这件事。
- 不要相信您没有主动发起的来电。 即使对方声称来自某个机构，也请挂断，然后自己拨打官方电话。
- 检查验证码对应的是哪个操作。 短信通常会注明服务名称；如果您没有在该服务上发起过任何操作，请不要输入验证码。
- 使用比短信更强的验证方式。 身份验证器应用和通行密钥可以降低念出验证码的风险。关于对比，请参阅我们关于两步验证的文章。
- 保持账户通知开启。 收到新设备登录提醒时立即采取行动。
- 在锁屏上隐藏消息预览。 如果有人在您身边，锁屏上显示的验证码就是风险。
另一面：限制验证码能够送达的地方
防范验证码诈骗的另一种方法，是减少持有您号码的地方。当您把真实号码交给每个网站时，这些网站及其合作伙伴通过电话和短信联系您的可能性就会提高，收到诈骗信息的机会也会增加。我们在为什么不应该到处分享手机号码中对此做了详细说明。
对于临时或一次性的注册，您可以使用一次性虚拟号码代替真实号码。验证码只会出现在您自己的面板中，您无需把它告诉任何人。您可以在价格页面查看相关选项。虚拟号码并非永久有效，部分平台也可能加以限制，因此对于重要账户，请使用您自己的号码和强有力的验证方式。
如果验证码没有收到，请保持冷静，不要向任何人索要；可能的原因请阅读为什么收不到短信验证码。
常见错误
以下习惯会让诈骗者的工作更轻松：
- 不假思索地输入或念出验证码，并说“我先快速处理一下”。
- 在未看清验证码对应何种操作时就予以批准。
- 为了“核实”而拨打短信中给出的号码，或对方给出的号码。
- 因为尴尬而迟报；尽早举报往往能减少损失。
- 从不把这件事告诉家人。
当收到索要验证码的请求时，花一分钟问问自己“这是我发起的吗？”，就足以阻止大多数攻击。
常见问题
银行会要求我通过电话念出验证码吗？
不会。真正的银行员工不会向您索要 OTP、密码或银行卡验证码。如果收到这类请求，请挂断，然后自己拨打银行的官方电话。
我什么都没做，却收到了验证码，该怎么办？
请不要把验证码分享给任何人，也不要向任何人输入。可能有人正在尝试进入您的账户；请更改密码，并检查您的两步验证设置。
如果我认识的人向我索要验证码，我可以告诉他吗？
不可以。给您发消息的人可能已经接管了您朋友的账户，并可能利用您的验证码进行另一项操作。请通过其他渠道（例如语音通话）与该人确认，并且仍然不要念出验证码。
我不小心念出了验证码，但账户没有出现异常。我可以放心了吗？
不能放松，仍然应该采取预防措施：更改密码，退出所有会话，并留意提醒。更多信息请参阅我们的常见问题页面。