一项最新研究表明，由于在线服务越来越多地使用基于短信的身份验证链接，数百万人正面临风险。研究人员发现，这些旨在简化登录流程的链接，正使使用者容易遭受诈骗、身份盗窃和其他犯罪行为。

上周发布的研究报告指出，有超过700个端点代表175多个服务发送此类短信。这些服务范围广泛，从保险报价提供商到招聘网站，再到宠物保姆和辅导老师的推荐平台，它们正越来越多地依赖短信验证来绕过传统用户名和密码系统的复杂性。用户在注册时提供手机号码，并在想要登录时通过短信接收身份验证链接或密码。

该研究发现的一个关键漏洞是使用了容易枚举的链接。这意味着诈骗者可以通过简单地修改安全令牌（通常是URL末尾的一串字符）来猜测有效的链接。通过系统地更改这些令牌，恶意行为者可以获得对用户帐户的未经授权的访问权限。

“这些链接易于操纵的特性对用户隐私和安全构成了重大威胁，”该研究的主要作者表示。“服务需要采用更强大的身份验证方法，以保护其用户免受潜在的伤害。”

近年来，由于短信验证被认为很方便，因此对它的依赖性有所增加。然而，安全专家长期以来一直警告与此方法相关的固有风险。短信未加密，可能被恶意行为者拦截。此外，电话号码可以被欺骗，从而使攻击者可以冒充合法服务并发送欺诈性链接。

该研究结果强调，在线服务迫切需要重新评估其身份验证实践，并采用更安全的替代方案，例如使用身份验证器应用程序或硬件安全密钥的多因素身份验证。还建议消费者在点击通过短信收到的链接时要小心，并在输入任何个人信息之前验证发件人的合法性。