根据最近发布的研究，数百万用户正面临诈骗和身份盗窃的风险，原因是一些网站通过短信发送链接和验证码来验证用户身份。这种旨在简化登录流程的做法，反而让用户容易遭受各种犯罪侵害。

上周发布的这份研究报告指出，有超过700个端点代表175多个服务发送此类短信。这些服务涵盖各种领域，包括保险报价、招聘信息以及宠物照看和辅导的推荐。这些服务不要求用户创建和记住用户名和密码，而是在注册时要求提供手机号码，然后在用户想要登录时通过短信发送身份验证链接或密码。

该报告发现，一个关键的漏洞在于使用了容易被枚举的链接。诈骗者可以通过修改安全令牌（通常位于URL末尾）来猜测这些链接。这使他们能够绕过目标用户并获得对帐户的未经授权的访问权限。

“这些链接被操纵的容易程度令人震惊，”该研究的主要作者、网络安全研究员[Expert Name]说。“它为恶意行为者大规模入侵用户帐户打开了大门。”

近年来，随着公司寻求简化用户体验，对基于短信的身份验证的依赖日益增加。然而，安全专家长期以来一直警告使用电话号码作为主要身份验证因素的内在风险。短信未加密，可能会被拦截或欺骗。

该研究强调了对更强大的身份验证方法的需求，例如多因素身份验证 (MFA)，它使用多种因素的组合，包括用户知道的东西（密码）、用户拥有的东西（电话）以及用户本身的东西（生物识别）。

虽然该报告没有指明受影响的具体服务，但它敦促用户在点击通过短信收到的链接时要小心，并尽可能启用 MFA。研究人员还呼吁公司采取更安全的身份验证措施，以保护其用户免受潜在的伤害。