概述：2025年9月下旬，联合国大会高级别会议开幕前夕，美国特勤局在纽约周边35英里范围内端掉5处"SIM卡农场"窝点，查获约10万张SIM卡、50余个猫池机架。据特勤局官员向WIRED披露的口径，这套基础设施具备每分钟群发数千万条匿名短信的能力，关联诈骗损失估算超过10亿美元，甚至有多名美国政府官员收到的匿名威胁短信被溯源至此。本文以特勤局通报与WIRED专访为解读主轴，解剖SIM农场从开卡、猫池、行为伪装到变现的完整黑产链路，对照中国"断卡行动"与反诈法框架下的运营商反制实践，回答一个运维人都该关心的问题：一张不实名到人的SIM卡，是如何在通信网里隐身多年的。
先交代清楚信息来源结构：本案的核心事实来自美国特勤局（U.S. Secret Service）的公开通报及其纽约现场负责人马特·麦库尔（Matt McCool）接受WIRED的专访，数字口径以这两处为准；本文关于产业规律与检测手段的分析，是作者基于行业实践的解读，特勤局并未这样表述。
时间线大致如下（据WIRED与特勤局通报整理）：
| 时间 | 事件 |
|---|---|
| 2025年夏末 | 特勤局通过匿名威胁短信溯源与金融诈骗线索，逐步锁定纽约都会区多个可疑地点 |
| 2025年9月下旬 | 在纽约周边35英里范围内完成5处窝点的搜查，时机刻意选在联合国大会高级别会议开幕前 |
| 2025-09-23前后 | 特勤局公开通报：查获约10万张SIM卡、50余个SIM机架（SIM rack）；麦库尔展示了装满SIM卡的后备箱照片 |
| 通报同时披露 | 该网络具备大规模匿名短信/语音群发能力；关联诈骗对个人与企业造成的损失估算超过10亿美元 |
| 后续线索 | 多名美国高级官员收到的匿名威胁短信被溯源到这套网络；部分SIM卡来自境外，官方称不排除外国行为体关联（此点未经证实，官方原话是"无法排除"） |
几个数字值得运维人多看一眼。第一，5处窝点、35英里半径，这是典型的分布式部署：任何一个单点被端，其余号池可以继续工作，说明操盘者对"单点存活时间有限"有清醒预期。第二，50余个机架、10万张卡，平均一个机架约2000张卡，这已经不是作坊，而是按数据中心思路建的"号码农场"。第三，特勤局给出的能力评估里有一条最扎眼的：如果这批设备在联大期间满负荷发起呼叫与短信，流量足以压垮纽约区域的基站接入容量——换句话说，它同时是一枚"信令炸弹"，这个特性我们在docomo信令风暴那期讨论过：灾害不是病毒式的，而是所有终端同时朝网络开火。
窝点本身的形态也很"运维"：普通民房或闲置商铺，市电、宽带、空调齐备，机架7×24运行。对搞网络的人来说，这画面再熟悉不过——这就是一个没有IAL（基础设施即服务）资质、跑着黑产负载的微型IDC。
SIM农场（SIM farm）的核心设备行话叫"猫池"，英文圈更常用的名字是GoIP（GSM over IP）或SIM bank。它的原始出身其实是正经的：
设备形态也一路进化：从PCI板卡，到独立盒式GoIP（16/32/64/128卡位），再到今天的SIM bank机架——SIM卡集中插在一个卡库（SIM bank）里，通过IP远程驱动分布在别处的调制解调器（SIM proxy），卡和人可以分开，卡库甚至可以放在境外，调制解调器集群放在目标市场本地。特勤局这次查到的50余个机架，从披露的图片和描述看就是后一种形态：模块化、可远程调度、坏了即换。
真正让猫池从工具变成"基础设施"的，是软件层的三个能力：
到这一步，SIM农场就变成了电信网络的"SaaS"——只不过租户全是灰产。这也是为什么特勤局的通报用了"infrastructure"这个词：端掉5个窝点，端掉的是产能，而不是需求。
10万张卡在黑产账本上不是库存，是三台印钞机。对照来看更清楚：
| 生意 | 技术载体 | 变现方式 | 量级（据行业公开报道，约数） | 主要受害者 |
|---|---|---|---|---|
| 接码（OTP出租） | 猫池＋接码平台API | 出租号码接收验证码，供批量注册或拦截OTP，单次收费几毛到几元不等 | 平台级日请求量可达百万次 | 互联网平台实名体系、被拦截OTP的机主 |
| 群呼与短信轰炸 | GoIP语音/短信网关 | 替诈骗团伙发送钓鱼短信、实施语音群呼，按条/按分钟计费 | 特勤局口径：该网络群发能力达每分钟数千万条 | 收到钓鱼短信与匿名威胁的用户 |
| 话务结算套利（SIM box） | 猫池＋国际来话落地 | 国际来话经VoIP绕到本地SIM卡再落地，吃掉国际结算与本地资费之间的差价 | CFCA历次调查中，互连旁路（SIM box fraud）长期位居电信诈骗损失前列 | 运营商结算体系 |
按全球通信诈骗行业组织CFCA（Communications Fraud Control Association）2023年发布的全球调查口径，全球运营商一年因各类电信诈骗损失的金额约389.5亿美元，约占行业收入的3.6%——其中SIM box类旁路 fraud 和与OTP相关的中间人诈骗常年占据损失榜前列。特勤局这次估算的10亿美元损失，放到这个大盘里看并不突兀：一个规模化的号池，就是大盘里的一台抽水机。
接码这门生意特别值得展开，因为它攻击的不是网络，而是实名制本身。互联网平台的账号体系普遍以"手机号＝人"作为风控锚点，接码平台把锚点变成了可批量采购的商品：注册一个账号的成本从"一张卡＋实名"降到"几毛钱一次API调用"。刷单、水军、薅羊毛、诈骗账号，全部建立在这个价差之上。你在反诈宣传里看到的"陌生链接不要点"，背后支撑它的产业链上游，就是这几万台沉默运转的猫池。
一个合理的疑问是：运营商的风控系统不是早就能识别异常话务吗？为什么10万张卡能跑这么久？答案是号池在四个层面上都做了对抗：
flowchart TD
A["境外开卡通道<br/>批量开卡或免实名"] --> B["SIM Bank 卡库<br/>单机架插卡数百张"]
B --> C["猫池网关<br/>卡位热切换"]
C --> D["行为伪装模块<br/>模拟真人呼出节奏"]
D --> E["接码平台 API"]
D --> F["群呼与短信轰炸"]
D --> G["话务结算套利"]
E --> H["批量注册与OTP拦截"]
F --> I["诈骗触达与匿名威胁"]
G --> J["结算差价变现"]
K["运营商风控 FMS<br/>话单行为分析"] -.->|短呼与闪呼特征| F
K -.->|主被叫比异常| D
K --> L["关停封号与涉案核查"]
第一层壳：开卡环节的实名漏洞。 中国经过断卡行动后，"一证五号"和开卡环节人像核验已把批量开卡成本抬得极高，于是黑产转向两个出口：一是收老卡（对存量"睡眠卡"做二次实人认证的对抗），二是用免实名或弱实名市场的卡。英国至今不要求SIM卡实名登记，便利店买卡即用；部分国家的eSIM线上开户风控宽松。这些卡以国际漫游身份进入目标市场，绕开本地开卡核验——这也是本案中"部分SIM来自境外"的产业背景。
第二层壳：网络注册环节的指纹伪造。 改写IMEI、轮换TMSI/GUTI、控制开关机节奏，让网络侧看到的"设备"千姿百态。移动性上甚至有"养卡"操作：卡在不同窝点间轮换驻留，模拟正常人的基站迁移轨迹。
第三层壳：话务行为 mimicry。 这是技术含量最高的一层。早期猫池的死穴是话单太"干净"：纯主叫、短呼、无节假日、间隔机械。新一代号池软件内置行为模型——呼出间隔泊松化、混入少量被叫、设置静默时段、单卡日呼出量压到阈值以下，把"机器画像"往"人类画像"上拉。风控和黑产在这里打的是一场持续多年的对抗升级，和垃圾邮件过滤的攻防史完全同构。
第四层壳：基础设施的分布式与境外化。 卡库在境外、调制解调器在境内、窝点之间互为备份，单点查获对整体产能影响有限。特勤局这次是先通过官员威胁短信和金融诈骗资金流做多源头归因，再反推物理位置，属于典型"从应用层倒查物理层"的打法——成本很高，这也是此类案件近年来并不多见的原因。
伪装做得再好，有一条物理规律黑产绕不过去：一切话务都要在核心网留话单。运营商的反制体系，本质就是在话单大数据上重建"号池识别器"。
行内常用的特征维度（不同厂家风控产品的具体算法各异，这里讲的是共性原理）：
| 特征维度 | 号池典型画像 | 主要误伤人群 |
|---|---|---|
| 呼叫时长分布 | 大量10秒内短呼、接通即挂 | 外呼客服、外卖骑手 |
| 主被叫比例 | 接近纯主叫或纯接收（接码卡） | 售后座席、企业值班机 |
| 活跃时段 | 7×24连续、无节假日周期 | 物联网卡、监控设备 |
| 位置驻留 | TA长期不变或轨迹机械跳变 | 固定CPE、企业专线卡 |
| 短信内容节奏 | 高频同模板、发送间隔规律 | 批量通知类企业卡 |
| 漫游行为 | 长期漫游驻留、开户地与使用地分离 | 真实跨境用户 |
单条特征都容易误伤，所以现代欺诈管理系统（FMS）的思路是多特征加权打分＋机器学习，对疑似号池先限呼、再复核、后关停，误伤率是产品竞争力的核心指标。跨境侧则靠漫游 partners 的TAP话单结算文件做事后审计，这层因为结算周期滞后，天然是弱环节——黑产深谙此道。
制度层面的反制，中美的路径刚好可以对照看：
这两条路径对应了号池攻击的两个不同环节：中国堵的是"卡的来源"，美国堵的是"卡的控制权转移"。但共同的天花板是一样的——只要短信OTP仍然是主流认证因子，接码号池就有永远的需求。这也是为什么NIST的指引和各大平台的Passkey（设备绑定密钥）迁移才是釜底抽薪的一招：验证码不消失，猫池不会消失。
回到本案，有几个复盘层面的判断值得留给同行。
第一，物理查缴是最后一步，不是第一步。 特勤局能找到这5个窝点，靠的是威胁短信溯源＋金融资金流＋匿名举报的多线归因。对绝大多数运营商而言，能做的止步于"发现异常话务并关停"，物理打击依赖执法跨境协作——这就是黑产的不对称优势：它的固定资产可以重建，你的检测模型却要天天在线。
第二，10万张卡的产能一天就能补回来。 端掉窝点不改变任何经济学：接码单价、群呼报价在地下市场的波动通常以天计。真正改变经济学的是开卡实名强度、OTP认证迁移、A2P/P2P资费价差收敛这三件慢变量。运营商的价值不在单点战果，而在于把号池的运营成本（养卡对抗、行为伪装、窝点电力宽带）持续抬高一截。
第三，"能压垮基站"这个能力评估应当被写进网络安全预案。 特勤局把这套设备视为潜在的关键基础设施威胁，逻辑与信令风暴一致：当数万终端受控同时发起呼叫，网络面对的不是欺诈问题，而是容量与可用性问题。大型活动保障（峰会、演唱会、马拉松）的预案里，除了流量突发和干扰排查，"区域性受控话务洪水"应当成为新的想定科目——它的前置信号恰恰是本文第五节那些话单特征在局部区域的聚集。
第四，对个人，最有效的仍是那一老招。 收到的每一条"官方"短信里的链接，都以最坏恶意假设；重要账户尽快迁移到Passkey或至少App推送确认；号码被骚扰不用恐慌，但号码被人拿去注册了什么，值得定期查。号池经济学的本质是"每个号码都很廉价"，而防御的本质是"让每个号码都可追溯"。
通信网对一张SIM卡的全部身份认知，几乎都发生在开户那一刻。之后它是否易主、是否进了机架、是否在替某个诈骗团伙打工，网络只能靠话单行为去猜。SIM农场案例之所以值得全行业细读，是因为它把这个结构性弱点摆上了台面：当"号码"本身成为可批量租售的商品，实名制就只剩开卡那一瞬的有效性。
中国的断卡行动把开卡门槛提到了全球最高一档，美国正在换卡环节补课，而终局解法——认证因子从"你知道/你收到"迁移到"你持有设备本身"——仍在路上。在那之前，NOC值夜班的各位，不妨在告警列表里给"短呼比突增""主被叫比异常""漫游驻留异常"这几个不起眼的指标多留一屏位置。那上面跳动的，可能不只是噪声，而是某个机架上正在换卡的第三万零一百二十七张SIM卡。
（注：本案数字均出自特勤局通报及WIRED专访口径，"外国行为体关联"为官方"无法排除"表述，未经证实；CFCA损失数据为该组织2023年调查口径；各运营商风控算法细节属厂商内部实现，本文仅述共性原理，具体以各厂家官方文档为准。）
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。