摘要

  • ARIN 于 2026 年 8 月 24 日关闭建议 2022.29，并称有限支持的区域外手机号码造成了“代价高昂的攻击入口”；ARIN 不计划再为短信验证启用新的区域外移动代码。
  • 当前规则是一张逐项维护的目的地清单，并不等同于 RIR 区域边界：ARIN 区域内有不支持短信的地点，区域外的特立尼达和多巴哥则仍被列为例外。
  • ARIN 没有公布攻击手法、次数、目的地或金额。合理的透明度，是为清单变更保留不泄露敏感数据的决定回执，而不是公开电话号码或反滥用阈值。

从用户便利问题转为服务成本问题

Andy Beverly 在 2022 年 11 月提交建议 2022.29时，提出的是一个直接的使用问题：持有 ARIN 服务区域以外手机号码的管理员，也应能够选择短信完成双因素验证。ARIN 当时把建议保留为开放状态，等待社区咨询和其他验证方式的开发。

到 2026 年 8 月，关闭理由已经变了。ARIN 说，实践表明，少量已经支持的区域外号码正在形成一个成本高昂的攻击入口。考虑到真实成本以及其他验证方式的存在，ARIN 不计划为短信验证新增任何非 ARIN 区域移动代码。

这足以证明 ARIN 作出了带有安全依据的产品决定，却不足以还原一次事件。公开页面没有说明攻击属于短信轰炸、资费套利、密码猜测还是其他行为，也没有列出运营商、国家、短信数量、账单或受损账户。给未知机制安上一个熟悉的名称，会把推测写成事实。

可以确认的控制面更窄，也更有用。在一次性验证码能够验证任何人之前，ARIN Online 先决定是否接受该号码，并尝试向这个目的地发送消息。国家和地区代码清单因此是一道准入控制：它决定 ARIN 是否承担某条发送路径的成本与滥用风险，也决定用户是否能够选择这条验证路径。

准入并不是身份。国家代码不证明用户在哪里、谁控制手机，也不证明谁有权操作与账户关联的号码资源。密码、收到的验证码以及账户与 POC 的授权关系承担身份验证功能；清单只决定短信渠道是否开放。

三张不能合并的地图

ARIN 当前的短信 MFA 指南逐项列出国家和地理区域。加拿大、美国、波多黎各以及多个加勒比地区显示为支持；圣巴泰勒米、美国本土外小岛屿以及若干偏远地区显示为不支持。另一节单独列出特立尼达和多巴哥，说明这个 ARIN 区域外国家仍支持短信。

因此，服务区域地图、短信准入表和实际交付网络不是同一张图。属于 ARIN 区域，并不自动获得短信；处在区域外，也不意味着所有现有例外在 8 月 24 日被删除。ARIN 的表述是“不增加新的”区域外代码，没有宣布取消特立尼达和多巴哥。

清单中的“支持”也不是送达保证。ARIN 的MFA 常见问题提醒，即使所在国家被列为支持，用户的通信服务商仍可能不转交 ARIN 短信。服务允许配置号码、通信链路送达消息、用户在合法会话中提交验证码，是三个独立状态。

这些区别阻止了另一种误读：区域外号码并没有被 ARIN 宣布为天然不安全。公开记录描述的是有限例外带来的经验和成本，不是一份国家、运营商或用户的安全排名。

2023 年的用户证据不能替代 2026 年的测量

ARIN 在2023 年 1 月咨询中说，13% 的网页用户账户登记了服务区域外电话号码。这个数字描述的是当时账户资料中的号码位置，不是依赖短信的用户比例，也不能证明这些人无法使用认证器或 passkey。

同年 3 月的咨询结果称意见不一。少数区域外客户询问过短信，工作人员成功引导他们使用基于时间的一次性密码。ARIN 当时不知道有客户仅因短信不可用而无法完成 2FA，并表示，如果有人确实不能使用其他方式，将重新审视区域外短信。

这是对 2023 年 3 月已知情况的有限陈述，不是对未来所有用户的保证。2026 年 8 月的成本结论则回答了另一个问题：开放例外给服务方带来了什么风险。公开材料没有把两边接起来，没有给出现在的替代方式完成率、客服负担、锁定人数或攻击成本。

替代选择确实变多。ARIN 自 2023 年 2 月起强制使用 2FA；2026 年 5 月版本把行业标准 passkey 加入 ARIN Online。当前的passkey 指南同时列出硬件和软件方案，短信与 passkey 设置还会提供 16 个一次性恢复码。这些是真实的控制，却不是实际采用、恢复成功或用户受损的统计。

公开决定回执，不公开攻击剧本

让规则可复核，不要求 ARIN 泄露电话号码、运营商敏感信号、实时封锁阈值、发票或账户标识。更合适的公共材料，是每次短信目的地清单发生实质变化时的一份简短版本化回执。

回执可以说明生效日期、涉及的国家或代码，以及动作是新增、删除、暂时停用还是维持“不再扩展”。理由可保持在安全的类别层级，例如无法交付、持续滥用成本、供应商限制或经过复核的产品选择。如果能在不暴露个人的前提下统计，还可以给出被拒设置、改用其他方式、完成替代设置和求助工单的大致区间。

回执还需要纠错入口。一个目的地可能被错误分类，也可能在以后变得可支持。“支持”应表示 ARIN 允许尝试设置，而不是承诺运营商送达；“不支持”应表示这条渠道关闭，而不是对用户身份、资格或区域归属作判断。

这种薄而明确的记录不会替 ARIN 决定永久清单，也不会把反滥用细节送给攻击者。它只把一项会影响成本和访问连续性的产品规则，留在能够被发现、解释和修正的现实层。

资料来源