摘要

  • 澳大利亚通信和媒体管理局（ACMA）认定，2024 年 9 月 23 日至 10 月 23 日，Optus 作为 Coles Mobile 的转入运营商，对 44 个号码发起携转，却没有完成任何一种获准的额外身份核验流程。
  • ACMA 随后表示，诈骗者利用第三方身份核验系统的漏洞，控制了至少 4 名消费者的移动服务并进入其银行账户，报告损失合计 3.9 万澳元。不能把这组数据写成“44 名受害者各自损失资金”。
  • 携转平台负责准确记录号码去向，但记录本身不能替代授权证据。若核验环节被绕过，一个技术上完整的转移仍可能把通信控制权交给错误的人。

携号转网改变的不是显示出来的数字

消费者更换运营商时，希望原来的号码继续使用。从手机界面看，变化很小：亲友仍拨打同一串数字。网络内部却发生了控制权交接。

“转入运营商”是号码将要进入的服务提供方；“转出运营商”是当前提供服务的一方。共享携转系统需要记录交易，相关路由需要把电话和短信送到新的服务。旧服务停止承担号码，新服务开始接收通信。

因此，携转不是把账户表格中的一个字段复制到另一张表。它改变了谁能实际收到发往该号码的呼叫和短信。许多银行、邮箱和网络平台会把短信作为登录提醒、交易确认或账户恢复的一部分。如果号码被错误转移，影响可能沿着这条依赖链扩展到电信之外。

号码也不宜被称为消费者的私人财产。澳大利亚标准使用“号码使用权持有人”这一表达。它说明客户拥有合法使用权，同时保留号码属于公共编号体系、必须保持唯一和可携转的事实。

转入运营商在发起携转前，需要确认申请人是使用权持有人或其授权代表，并确认申请人可以直接、即时访问与该号码关联的移动设备。这两个条件有关联，却不是同一件事。知道账户资料不必然等于控制原设备；临时拿到设备也不必然等于有权转移服务。

监管报告确认了什么

ACMA 的最终调查报告把 Optus 确认为 44 次 Coles Mobile 携转中的转入通信服务提供商，调查期从 2024 年 9 月 23 日持续到 10 月 23 日。

监管机构认定，Optus 对 44 个号码均未完成 2020 年标准第 8(2) 款规定的额外身份核验流程，却仍继续办理携转，因而又分别违反第 8(5) 款。由此还构成《1997 年电信法》第 128(1) 款所涉及的违规。

报告有一个容易被误读的细节：每个号码都曾收到短信形式的唯一验证码。但“发送验证码”并不等于“完成合规核验”。ACMA 的结论正是，44 次在线申请都没有完成规定流程。

出于安全原因，报告删除了部分技术细节。公开材料没有披露第三方供应商名称，也没有给出可供复现漏洞的方法。文章不能用猜测填补这些空白。

ACMA 的新闻稿补充了已知后果。诈骗者利用第三方身份核验系统中的弱点，绕过部分流程，取得至少 4 个消费者移动服务的控制权，随后进入银行账户。报告损失合计 3.9 万澳元。

这里有三种不同口径。44 是未完成合规核验却继续执行的携转数量；“至少 4 个”是公开确认被诈骗者控制的移动服务下限；3.9 万澳元是公开报告的总损失。不能据此推导出 44 个不同的人都遭到诈骗，也不能把总额平均分配给任何人。

“验证码已发送”只是事件，不是结论

一次性验证码很常见，因为它把复杂核验压缩成简单操作。但它是否有效，取决于完整链路：验证码发往哪里，返回值是否绑定同一个号码、同一会话和同一申请，是否会过期，是否只能使用一次，第三方系统能否在缺少步骤时仍返回“成功”。

公开报告没有说明具体漏洞落在哪个技术环节。我们无需猜测，仍可看到控制设计问题：系统记录了验证码发送事件，却没有得到规则要求的最终证据。

稳健流程应当区分清楚状态。申请最初是“未核验”；系统选择一种获准方式；证据被检查并与号码、申请人、交易和时间窗口绑定；只有成功以后，申请才可进入“允许携转”。超时、接口故障、字段缺失或含糊响应都必须保持关闭。

下游系统也不应只接收一个绿色标签。它至少需要知道核验方式、规则版本、唯一引用、有效期限以及对应的交易。详细身份证明可以保留在受限系统中，网络和携转组件只接收最少且可审计的证明。

携转台账是记录者，不是授权来源

号码携转需要共同台账。没有它，不同运营商可能同时认为自己负责同一号码，或相互认为责任在对方，最终造成电话无法接通、短信丢失或重复控制。

但是，台账可以准确记录一个本不该获得批准的指令。身份门被绕过之后，共享系统仍可能正确完成交易，路由也可能准确把通信送到新网络。此时数据库彼此一致，真实使用权人却失去了服务。

这就是“记录”和“合法性”的区别。台账负责维持唯一性、顺序和转移历史，却不能脱离输入证据自行证明申请人的身份。最终一行“当前运营商=Optus”只描述运行状态，不能解释这次变更为何有权发生。

现实层需要同时看申请人、设备、核验决定、携转交易和实际路由。审查者必须能把这些部分串起来：谁提出请求，哪种方法成功，哪个证据引用授权了哪笔交易，网络何时切换，旧服务何时停止。

良好的记录不要求每个网络组件保存身份证件。可以把敏感细节限制在核验系统，只向下游提供完整性受保护的最小证明。关键是最终转移必须能追溯到真实证据，而不是追溯到一个无法解释的状态字段。

使用第三方并不会转移运营商义务

电信运营商普遍使用外部服务处理文件识别、欺诈信号、短信发送或身份判断。专业化本身没有问题。问题在于运营商是否把第三方的简短回复，当作无需复核的最终授权。

在 ACMA 的报告中，Optus 是转入运营商。第三方可以提供技术服务，但“没有完成规定核验时不得发起携转”这一责任仍落在转入方。

安全的接口合同应当说明回复证明什么、绑定哪些输入、能使用多久、能否重复使用，以及失败时如何处理。供应商不可用不能变成默认放行，回调延迟也不能被记作成功。

供应商或接口版本发生变化时，需要在进入生产前测试缺失字段、过期挑战、重复回调、号码不一致和服务中断等负面场景。系统不仅要证明正常路径能工作，还要证明错误路径会停止。

监控需要关注形状变化。某个线上渠道成功率突然升高、常见失败突然消失、同一模式频繁重试，可能比总投诉数更早揭示绕过。团队还需要能单独暂停有问题的方式，而不是只能关闭全部携转业务。

一套普通读者也能检查的控制清单

第一，每一笔已发起携转都必须对应一份有效、唯一并与同一号码绑定的核验证据。找不到证据就是事故，不必等待客户报案。

第二，系统必须区分“验证码已发送”“验证码已验证”“身份流程已完成”和“携转获准”。这些状态不能被一个模糊的“通过”替代。

第三，证据必须短时有效、仅可使用一次，并绑定会话。不同申请之间不得复用。

第四，按渠道和版本统计申请、挑战、成功、失败、过期、人工复核与最终携转数量。数量对不上时，应先停止并解释差异。

第五，第三方变更要经过合同测试和滥用测试。监控既看错误率，也看“异常完美”的成功率。

第六，运营团队需要局部停止开关。发现一个渠道异常时，可以关闭该方法并保留更安全的替代路径。

第七，疑似未经授权的携转需要跨运营商恢复流程。谁能冻结、谁能回退、如何保存证据，都应提前规定。仓促恢复若缺少授权，也可能造成第二次错误转移。

第八，在可行情况下，用独立渠道通知客户。只向新服务发送提示，可能把警报送给已经取得控制的人。

这些措施共同回答一个问题：改变唯一号码的运行控制权之前，系统是否真的证明了申请人与指令属于同一合法请求。

罚款说明了严重性，但不是完整成本

Optus 支付了 826,320 澳元罚款。ACMA 表示，这是其在本案中可以作出的最高金额。

罚款不等于全部损失。3.9 万澳元是已报告的财务损失，并不涵盖恢复号码、银行账户和数字身份所需的时间，也不等于每个受影响服务的损失。

ACMA 新闻稿称问题是一次性事件并很快得到修复，但最终报告没有公开全部技术整改。文章可以说明应该具备哪些控制，却不能替外部读者验证未公开的修复结果。

同样，没有证据表明 Optus 有意放行欺诈携转，也不能公开猜测第三方身份或漏洞细节。可核实的结论已经足够：强制核验没有完成，网络控制权转移却继续发生。

来源