**概述**：2025年9月下旬，联合国大会高级别会议开幕前夕，美国特勤局在纽约周边35英里范围内端掉5处"SIM卡农场"窝点，查获约10万张SIM卡、50余个猫池机架。据特勤局官员向WIRED披露的口径，这套基础设施具备每分钟群发数千万条匿名短信的能力，关联诈骗损失估算超过10亿美元，甚至有多名美国政府官员收到的匿名威胁短信被溯源至此。本文以特勤局通报与WIRED专访为解读主轴，解剖SIM农场从开卡、猫池、行为伪装到变现的完整黑产链路，对照中国"断卡行动"与反诈法框架下的运营商反制实践，回答一个运维人都该关心的问题：一张不实名到人的SIM卡，是如何在通信网里隐身多年的。 ## 目录 - 一、案发：联大开幕前，特勤局抬走了十万个号码 - 二、猫池不是新东西：从呼叫中心到黑产基础设施 - 三、号池的三门生意：接码、群呼、吃差价 - 四、它凭什么能隐身：伪装技术的四层壳 - 五、运营商的反制：号池永远在话单里留指纹 - 六、打掉一个号池之后：这场仗为什么打不完 - 七、结语：号码的身份证，不该只是开卡那一瞬 ## 一、案发：联大开幕前，特勤局抬走了十万个号码 先交代清楚信息来源结构：本案的核心事实来自美国特勤局（U.S. Secret Service）的公开通报及其纽约现场负责人马特·麦库尔（Matt McCool）接受WIRED的专访，数字口径以这两处为准；本文关于产业规律与检测手段的分析，是作者基于行业实践的解读，特勤局并未这样表述。 时间线大致如下（据WIRED与特勤局通报整理）： | 时间 | 事件 | |---|---| | 2025年夏末 | 特勤局通过匿名威胁短信溯源与金融诈骗线索，逐步锁定纽约都会区多个可疑地点 | | 2025年9月下旬 | 在纽约周边35英里范围内完成5处窝点的搜查，时机刻意选在联合国大会高级别会议开幕前 | | 2025-09-23前后 | 特勤局公开通报：查获约10万张SIM卡、50余个SIM机架（SIM rack）；麦库尔展示了装满SIM卡的后备箱照片 | | 通报同时披露 | 该网络具备大规模匿名短信/语音群发能力；关联诈骗对个人与企业造成的损失估算超过10亿美元 | | 后续线索 | 多名美国高级官员收到的匿名威胁短信被溯源到这套网络；部分SIM卡来自境外，官方称不排除外国行为体关联（此点未经证实，官方原话是"无法排除"） | 几个数字值得运维人多看一眼。第一，**5处窝点、35英里半径**，这是典型的分布式部署：任何一个单点被端，其余号池可以继续工作，说明操盘者对"单点存活时间有限"有清醒预期。第二，**50余个机架、10万张卡**，平均一个机架约2000张卡，这已经不是作坊，而是按数据中心思路建的"号码农场"。第三，特勤局给出的能力评估里有一条最扎眼的：如果这批设备在联大期间满负荷发起呼叫与短信，**流量足以压垮纽约区域的基站接入容量**——换句话说，它同时是一枚"信令炸弹"，这个特性我们在docomo信令风暴那期讨论过：灾害不是病毒式的，而是所有终端同时朝网络开火。 窝点本身的形态也很"运维"：普通民房或闲置商铺，市电、宽带、空调齐备，机架7×24运行。对搞网络的人来说，这画面再熟悉不过——这就是一个没有IAL（基础设施即服务）资质、跑着黑产负载的微型IDC。 ## 二、猫池不是新东西：从呼叫中心到黑产基础设施 SIM农场（SIM farm）的核心设备行话叫"猫池"，英文圈更常用的名字是GoIP（GSM over IP）或SIM bank。它的原始出身其实是正经的： - **呼叫中心**：早年的电话营销、客服外呼系统，需要大量语音线路，一块板卡插8口、16口SIM卡，配合软件轮询拨号。 - **物联网与终端测试**：运营商和终端厂商做批量测试，需要成百上千张卡同时做注册、切换、漫游验证，测试实验室里的"卡墙"本质上是同一个东西。 - **短信网关**：企业通知类短信（验证码、物流提醒）在A2P通道出现之前，不少灰色聚合商就是拿猫池以点对点资费发企业短信。 设备形态也一路进化：从PCI板卡，到独立盒式GoIP（16/32/64/128卡位），再到今天的SIM bank机架——SIM卡集中插在一个卡库（SIM bank）里，通过IP远程驱动分布在别处的调制解调器（SIM proxy），**卡和人可以分开**，卡库甚至可以放在境外，调制解调器集群放在目标市场本地。特勤局这次查到的50余个机架，从披露的图片和描述看就是后一种形态：模块化、可远程调度、坏了即换。 真正让猫池从工具变成"基础设施"的，是软件层的三个能力： 1. **热切换**：一张卡用几分钟到几小时自动下线，换下一张，单卡暴露窗口极短； 2. **IMSI/IMEI配对伪造**：部分设备支持改写IMEI，让同一张卡的设备指纹不断变化，规避"一机多卡"类风控； 3. **API化**：接码平台、群呼平台把猫池封装成HTTP API，黑产买家不接触任何硬件，按次、按条、按分钟付费。 到这一步，SIM农场就变成了电信网络的"SaaS"——只不过租户全是灰产。这也是为什么特勤局的通报用了"infrastructure"这个词：端掉5个窝点，端掉的是产能，而不是需求。 ## 三、号池的三门生意：接码、群呼、吃差价 10万张卡在黑产账本上不是库存，是三台印钞机。对照来看更清楚： | 生意 | 技术载体 | 变现方式 | 量级（据行业公开报道，约数） | 主要受害者 | |---|---|---|---|---| | 接码（OTP出租） | 猫池＋接码平台API | 出租号码接收验证码，供批量注册或拦截OTP，单次收费几毛到几元不等 | 平台级日请求量可达百万次 | 互联网平台实名体系、被拦截OTP的机主 | | 群呼与短信轰炸 | GoIP语音/短信网关 | 替诈骗团伙发送钓鱼短信、实施语音群呼，按条/按分钟计费 | 特勤局口径：该网络群发能力达每分钟数千万条 | 收到钓鱼短信与匿名威胁的用户 | | 话务结算套利（SIM box） | 猫池＋国际来话落地 | 国际来话经VoIP绕到本地SIM卡再落地，吃掉国际结算与本地资费之间的差价 | CFCA历次调查中，互连旁路（SIM box fraud）长期位居电信诈骗损失前列 | 运营商结算体系 | 按全球通信诈骗行业组织CFCA（Communications Fraud Control Association）2023年发布的全球调查口径，**全球运营商一年因各类电信诈骗损失的金额约389.5亿美元**，约占行业收入的3.6%——其中SIM box类旁路 fraud 和与OTP相关的中间人诈骗常年占据损失榜前列。特勤局这次估算的10亿美元损失，放到这个大盘里看并不突兀：一个规模化的号池，就是大盘里的一台抽水机。 接码这门生意特别值得展开，因为它攻击的不是网络，而是**实名制本身**。互联网平台的账号体系普遍以"手机号＝人"作为风控锚点，接码平台把锚点变成了可批量采购的商品：注册一个账号的成本从"一张卡＋实名"降到"几毛钱一次API调用"。刷单、水军、薅羊毛、诈骗账号，全部建立在这个价差之上。你在反诈宣传里看到的"陌生链接不要点"，背后支撑它的产业链上游，就是这几万台沉默运转的猫池。 ## 四、它凭什么能隐身：伪装技术的四层壳 一个合理的疑问是：运营商的风控系统不是早就能识别异常话务吗？为什么10万张卡能跑这么久？答案是号池在四个层面上都做了对抗： ```mermaid flowchart TD A["境外开卡通道
批量开卡或免实名"] --> B["SIM Bank 卡库
单机架插卡数百张"] B --> C["猫池网关
卡位热切换"] C --> D["行为伪装模块
模拟真人呼出节奏"] D --> E["接码平台 API"] D --> F["群呼与短信轰炸"] D --> G["话务结算套利"] E --> H["批量注册与OTP拦截"] F --> I["诈骗触达与匿名威胁"] G --> J["结算差价变现"] K["运营商风控 FMS
话单行为分析"] -.->|短呼与闪呼特征| F K -.->|主被叫比异常| D K --> L["关停封号与涉案核查"] ``` **第一层壳：开卡环节的实名漏洞。** 中国经过断卡行动后，"一证五号"和开卡环节人像核验已把批量开卡成本抬得极高，于是黑产转向两个出口：一是收老卡（对存量"睡眠卡"做二次实人认证的对抗），二是**用免实名或弱实名市场的卡**。英国至今不要求SIM卡实名登记，便利店买卡即用；部分国家的eSIM线上开户风控宽松。这些卡以国际漫游身份进入目标市场，绕开本地开卡核验——这也是本案中"部分SIM来自境外"的产业背景。 **第二层壳：网络注册环节的指纹伪造。** 改写IMEI、轮换TMSI/GUTI、控制开关机节奏，让网络侧看到的"设备"千姿百态。移动性上甚至有"养卡"操作：卡在不同窝点间轮换驻留，模拟正常人的基站迁移轨迹。 **第三层壳：话务行为 mimicry。** 这是技术含量最高的一层。早期猫池的死穴是话单太"干净"：纯主叫、短呼、无节假日、间隔机械。新一代号池软件内置行为模型——呼出间隔泊松化、混入少量被叫、设置静默时段、单卡日呼出量压到阈值以下，把"机器画像"往"人类画像"上拉。风控和黑产在这里打的是一场持续多年的对抗升级，和垃圾邮件过滤的攻防史完全同构。 **第四层壳：基础设施的分布式与境外化。** 卡库在境外、调制解调器在境内、窝点之间互为备份，单点查获对整体产能影响有限。特勤局这次是先通过官员威胁短信和金融诈骗资金流做多源头归因，再反推物理位置，属于典型"从应用层倒查物理层"的打法——成本很高，这也是此类案件近年来并不多见的原因。 ## 五、运营商的反制：号池永远在话单里留指纹 伪装做得再好，有一条物理规律黑产绕不过去：**一切话务都要在核心网留话单**。运营商的反制体系，本质就是在话单大数据上重建"号池识别器"。 行内常用的特征维度（不同厂家风控产品的具体算法各异，这里讲的是共性原理）： | 特征维度 | 号池典型画像 | 主要误伤人群 | |---|---|---| | 呼叫时长分布 | 大量10秒内短呼、接通即挂 | 外呼客服、外卖骑手 | | 主被叫比例 | 接近纯主叫或纯接收（接码卡） | 售后座席、企业值班机 | | 活跃时段 | 7×24连续、无节假日周期 | 物联网卡、监控设备 | | 位置驻留 | TA长期不变或轨迹机械跳变 | 固定CPE、企业专线卡 | | 短信内容节奏 | 高频同模板、发送间隔规律 | 批量通知类企业卡 | | 漫游行为 | 长期漫游驻留、开户地与使用地分离 | 真实跨境用户 | 单条特征都容易误伤，所以现代欺诈管理系统（FMS）的思路是多特征加权打分＋机器学习，对疑似号池先限呼、再复核、后关停，误伤率是产品竞争力的核心指标。跨境侧则靠漫游 partners 的TAP话单结算文件做事后审计，这层因为结算周期滞后，天然是弱环节——黑产深谙此道。 制度层面的反制，中美的路径刚好可以对照看： - **中国：把对抗前移到开卡环节。** 2020年10月启动的"断卡行动"，加上工信部"一证五号"限制、睡眠卡二次实人认证、12381涉诈预警短信系统，以及2022年12月施行的《反电信网络诈骗法》，把"电话卡"从纯商品变成了全生命周期可追溯的责任物。GOIP/猫池设备的销售、架设本身已被明确入刑，公安部的涉案两卡惩戒机制让"出借一张卡"有了实名代价。这套体系的效果是双向的：境内批量开卡变得极难，同时也把部分黑产产能挤向了境外——本案里"卡在境外开、话在境内打"正是挤压后的形态。 - **美国：对抗后置到换卡与验证码环节。** 美国运营商长期的痛点是SIM swap（换卡劫持），FCC于2024年通过了SIM交换与携转防护规则，要求运营商在办理换卡前核验身份、事后通知用户并留存记录。而在OTP层面，NIST的SP 800-63B数字身份指南早已把短信验证码降级为"受限"的认证手段——只有在附加缓解措施的前提下才可使用。 这两条路径对应了号池攻击的两个不同环节：中国堵的是"卡的来源"，美国堵的是"卡的控制权转移"。但共同的天花板是一样的——**只要短信OTP仍然是主流认证因子，接码号池就有永远的需求**。这也是为什么NIST的指引和各大平台的Passkey（设备绑定密钥）迁移才是釜底抽薪的一招：验证码不消失，猫池不会消失。 ## 六、打掉一个号池之后：这场仗为什么打不完 回到本案，有几个复盘层面的判断值得留给同行。 **第一，物理查缴是最后一步，不是第一步。** 特勤局能找到这5个窝点，靠的是威胁短信溯源＋金融资金流＋匿名举报的多线归因。对绝大多数运营商而言，能做的止步于"发现异常话务并关停"，物理打击依赖执法跨境协作——这就是黑产的不对称优势：它的固定资产可以重建，你的检测模型却要天天在线。 **第二，10万张卡的产能一天就能补回来。** 端掉窝点不改变任何经济学：接码单价、群呼报价在地下市场的波动通常以天计。真正改变经济学的是开卡实名强度、OTP认证迁移、A2P/P2P资费价差收敛这三件慢变量。运营商的价值不在单点战果，而在于把号池的运营成本（养卡对抗、行为伪装、窝点电力宽带）持续抬高一截。 **第三，"能压垮基站"这个能力评估应当被写进网络安全预案。** 特勤局把这套设备视为潜在的关键基础设施威胁，逻辑与信令风暴一致：当数万终端受控同时发起呼叫，网络面对的不是欺诈问题，而是容量与可用性问题。大型活动保障（峰会、演唱会、马拉松）的预案里，除了流量突发和干扰排查，"区域性受控话务洪水"应当成为新的想定科目——它的前置信号恰恰是本文第五节那些话单特征在局部区域的聚集。 **第四，对个人，最有效的仍是那一老招。** 收到的每一条"官方"短信里的链接，都以最坏恶意假设；重要账户尽快迁移到Passkey或至少App推送确认；号码被骚扰不用恐慌，但号码被人拿去注册了什么，值得定期查。号池经济学的本质是"每个号码都很廉价"，而防御的本质是"让每个号码都可追溯"。 ## 七、结语：号码的身份证，不该只是开卡那一瞬 通信网对一张SIM卡的全部身份认知，几乎都发生在开户那一刻。之后它是否易主、是否进了机架、是否在替某个诈骗团伙打工，网络只能靠话单行为去猜。SIM农场案例之所以值得全行业细读，是因为它把这个结构性弱点摆上了台面：当"号码"本身成为可批量租售的商品，实名制就只剩开卡那一瞬的有效性。 中国的断卡行动把开卡门槛提到了全球最高一档，美国正在换卡环节补课，而终局解法——认证因子从"你知道/你收到"迁移到"你持有设备本身"——仍在路上。在那之前，NOC值夜班的各位，不妨在告警列表里给"短呼比突增""主被叫比异常""漫游驻留异常"这几个不起眼的指标多留一屏位置。那上面跳动的，可能不只是噪声，而是某个机架上正在换卡的第三万零一百二十七张SIM卡。 （注：本案数字均出自特勤局通报及WIRED专访口径，"外国行为体关联"为官方"无法排除"表述，未经证实；CFCA损失数据为该组织2023年调查口径；各运营商风控算法细节属厂商内部实现，本文仅述共性原理，具体以各厂家官方文档为准。） ## 参考来源 1. [U.S. Secret Service Newsroom（特勤局官方新闻室）](https://www.secretservice.gov/newsroom) — SIM卡农场查缴案件的官方通报入口，本文案件事实的第一来源 2. [WIRED: Secret Service Says It Dismantled SIM Farm Near New York](https://www.wired.com/story/secret-service-sim-farm-new-york/) — 特勤局官员麦库尔专访，10万张卡、50余机架、35英里、每分钟群发能力等细节均出自该报道 3. [NIST SP 800-63B: Digital Identity Guidelines（Authentication）](https://pages.nist.gov/800-63-3/sp800-63b.html) — 将短信OTP降级为受限认证手段的官方依据 4. [CFCA（Communications Fraud Control Association）](https://www.cfca.org) — 全球通信诈骗损失年度调查（2023年口径约389.5亿美元）发布方 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。