SIM 卡騎劫（SIM swapping，亦有人稱為「SIM 交換」）是一種帳戶接管攻擊：犯罪分子欺騙或攻破流動電訊商，把你的號碼啟用到他們控制的 SIM 或 eSIM 上。之後來電和短訊可能落入攻擊者手中；即使手機從未被偷，帳戶復原和短訊多重認證也可能受干擾。FTC 的消費者指引建議，一旦意外失去手機服務，應立即聯絡電訊商，並檢查金融及其他帳戶有否未經授權的更改或收費。［1］

關鍵要點

SIM 卡騎劫是在同一電訊商帳戶內更換生效的 SIM；號碼轉移詐騙則是把號碼轉到另一家電訊商。

突然失去流動服務並收到意外的電訊商通知，比單獨任何一條線索更有意義。

電訊商 PIN 或轉台鎖有幫助，但具體保護措施和名稱因電訊商和國家而異。

盡可能用驗證器或安全密鑰保護主電郵和金融帳戶，並把復原碼離線保存。

事發時先用可信裝置奪回電訊商控制權，再保護電郵和資金帳戶，最後才處理價值較低的服務。

網絡安全指南解釋了帳戶之間更廣泛的依賴關係；本文集中討論號碼本身的控制權。

SIM 卡騎劫與號碼轉移詐騙有甚麼區別？

兩者都針對電訊商對號碼的控制權，但改動的紀錄不同。FCC 把 SIM 卡騎劫（服務被轉到同一電訊商的另一張 SIM）與號碼轉移詐騙（號碼被轉到另一家電訊商的帳戶）區分開來。［2］電訊商調查和撤銷更改時，這個分別很重要。

事件	改變了甚麼	通常先聯絡誰	它不能證明甚麼
SIM 卡騎劫	現有電訊商線路上生效的 SIM 或 eSIM	現時電訊商的防詐騙團隊	攻擊者取得了你的實體裝置
號碼轉移詐騙	號碼轉到另一家電訊商或服務供應商的帳戶	原有／現時電訊商及其攜號轉台或防詐騙團隊	你現有的 SIM 卡被複製
實體 SIM 丟失	卡片遺失、損壞或被拿走	電訊商，以暫停服務及補發	電訊商帳戶遭社交工程攻擊
手機被盜	裝置及其中可能已解鎖的應用程式都不見了	電訊商，並按情況聯絡裝置、帳戶及執法途徑	號碼已被轉走

網絡故障、漫遊問題、SIM 損壞或裝置故障都可能令手機顯示「沒有服務」。請結合電訊商紀錄、通知和帳戶活動判斷，不要只看單一症狀。

SIM 卡騎劫為甚麼會放大短訊 MFA 風險？

控制號碼後，攻擊者可能收到發往該線路的來電和短訊。如果某項服務以短訊重設密碼或批准登入，號碼就成為帳戶復原鏈的一環。攻擊者或許仍需要用戶名稱、密碼、個人資料或另一個帳戶的存取權，但被轉走的號碼可能移除一道重要屏障。

NIST SP 800-63B-4 把經公共電話網絡進行的認證（包括短訊和語音）列為受限制方式，並建議服務在以這種方式傳送驗證碼前，考慮更換裝置、SIM 變更或號碼轉台等風險訊號。［3］價值較高的帳戶不應以號碼作為唯一的復原和 MFA 途徑。

服務支援時，優先使用在本機產生驗證碼的驗證器 App 或硬件安全密鑰。配合安全的復原流程，通行密鑰也能減少對短訊的依賴。把復原碼放在手機攻擊者接觸不到的地方，例如妥善保管的離線紀錄。

SIM 卡騎劫有哪些預警信號？

最有力的模式，是無法解釋的流動服務中斷，同時出現帳戶更改證據。請留意：

來電、短訊和流動數據突然全部停止，而附近的人仍有訊號。
收到電訊商的電郵、短訊或 App 通知，提及你沒有申請的 SIM 啟用、eSIM 更改、帳戶 PIN 重設或號碼轉出。
收到你沒有開啟過的服務傳來的密碼重設或一次性驗證碼訊息。
電訊商帳戶的密碼、聯絡資料、保安問題或授權用戶被更改。
電郵、銀行、加密貨幣或社交帳戶出現新的工作階段、轉帳、收款人或復原設定更改。
朋友表示收到看似來自你號碼、但並非你發出的來電或訊息。

切勿回撥意外訊息內的號碼。請用另一部手機，透過官方 App、帳單上的號碼或經核實的客服途徑聯絡。

哪些 SIM 卡騎劫預防措施最重要？

沒有一項設定能防止所有電訊商端失誤或帳戶入侵。要建立互相獨立的防護層，一層失效也不致暴露所有帳戶。

加固電訊商帳戶

為電訊商帳戶設定獨有密碼，以及不以生日、地址為基礎、也不與銀行 PIN 重複的帳戶 PIN 或密碼。查詢電訊商就更換 SIM 和號碼轉出提供哪些保護，例如轉台鎖、轉出凍結、親身核實身份或額外通知。各電訊商和地區的名稱與涵蓋範圍不同，請向你的電訊商核實具體安排。

減少可被用於冒充的公開資料

攻擊者可能把電話號碼與全名、地址、出生日期、帳單線索或外洩的憑證拼湊起來。減少公開能串連這些資料的個人檔案，並提防要你「確認」對方已知資料的來電。如果你擔心的是騙徒知道你的電話號碼，應集中處理與號碼相連的身份和帳戶控制，而不是自動更換號碼。

電訊商帳戶和主電郵都要使用獨有密碼。號碼出現在外洩資料中，本身並不代表已發生轉移；電話號碼外洩指南解釋了這個訊號的意思。

讓敏感帳戶脫離短訊單點恢復

由主電郵、銀行、支付、加密貨幣、密碼管理工具、雲端服務和工作帳戶開始。在支援的地方加入驗證器、通行密鑰或硬件安全密鑰。然後檢查復原設定：即使已啟用較強的 MFA，帳戶可能仍容許以短訊重設。

把復原碼與手機分開存放，並確認你知道如何進入官方復原流程。不要只把復原碼截圖存放在由同一個電郵帳戶保護的雲端相簿。

懷疑 SIM 卡騎劫時應怎樣處置？

按依賴次序處理。攻擊者仍控制號碼和主電郵時，你先改幾十個低價值密碼，對方大可再次重設。

暴露程度	證據	處理優先次序
只有可疑訊息	收到主動傳來的驗證碼或轉台誘餌，但服務和電訊商帳戶正常	不要分享驗證碼；透過官方途徑檢查電訊商帳戶
服務中斷但未確認更改	手機失去服務，電訊商暫無紀錄	迅速排除網絡故障或裝置問題；無法解釋時聯絡電訊商
已確認 SIM 或轉台更改	電訊商確認有未經授權的啟用或轉出	立即凍結或撤銷更改，並鎖定電訊商帳戶
號碼被控兼帳戶有活動	電郵、銀行等工作階段和復原資料被更改	先奪回號碼，再用可信裝置保護主電郵和金融帳戶

1. 從可信裝置聯絡電訊商

用另一部手機，或在可信網絡上使用官方 App 或網站。要求防詐騙團隊暫停未經授權的更改、恢復號碼、保護帳戶、保留相關紀錄，並說明事件屬於更換 SIM 還是轉台。索取個案編號或參考編號。

服務恢復後，更改電訊商密碼和 PIN，檢查授權用戶和復原資料，並確認哪些轉出保護仍然生效。

2. 保護主電郵和金融帳戶

在攻擊者未曾控制的裝置上，先保護主電郵。更改已外洩或重用的密碼，撤銷陌生的工作階段，檢查轉寄規則和復原方式，並加強 MFA。較詳細的電郵保護清單涵蓋了這項依賴關係。

只要出現未經授權的活動，便透過官方途徑聯絡銀行、支付服務和加密貨幣平台。要求對方攔截轉帳、審查新增的收款人或裝置，並記錄電訊帳戶被接管一事。不要為了「撤銷」詐騙而批准驗證碼或轉帳。

3. 撤銷工作階段並替換暴露憑據

檢查重要的雲端、工作、購物、社交和政府帳戶。登出陌生的工作階段，移除不認識的裝置或已連結的應用程式，更正復原資料，並更改重用的憑證。可行時由短訊升級至更強的方式，但在替代方式測試可用之前，不要移除唯一可用的復原方式。

4. 檢查交易與身份風險

查閱結單、你所在國家可查閱的信貸或身份紀錄、流動電話帳單，以及從你帳戶發出的訊息。保存電訊商和供應商的個案編號、通知、時間和交易細節。如涉及金錢、身份紀錄或冒充，請透過適用的官方途徑報告；身份盜竊概覽有助判斷更廣泛的暴露。

服務恢復後繼續留意帳戶。後續騙徒可能冒充電訊商、銀行調查員或追討公司。切勿向打來的電話讀出一次性驗證碼，也不要容許對方遙距存取以「修復」SIM。號碼恢復、帳戶復原和裝置調查應作為三個獨立問題處理。

總結

SIM 卡騎劫和號碼轉移詐騙都會奪走號碼控制權，但改動的電訊商紀錄不同。
突然失去服務，要結合電訊商通知和帳戶活動一併判斷，才下結論。
電訊商保護、較少的公開身份資料、非短訊 MFA 和離線復原碼，構成互相獨立的防護層。
先恢復電訊商控制權，再保護主電郵、金融帳戶、工作階段、密碼和身份紀錄。
電訊商功能的名稱和提供情況各有不同，請向你的電訊商確認具體控制措施。

常見問題

不偷手機也能進行 SIM 卡騎劫嗎？

可以。攻擊者針對的是電訊商帳戶或轉台流程，所以實體手機可以一直在你手上。號碼在別處被啟用時，你的裝置可能突然失去流動網絡服務。

SIM 卡騎劫等於複製 SIM 嗎？

不是。SIM 卡騎劫通常指電訊商在帳戶或身份核實失守後，把號碼啟用到另一張 SIM 或 eSIM。複製 SIM 則指拷貝 SIM 的技術憑證，屬另一種機制。

電訊商 PIN 能保證絕對安全嗎？

不能。它是有用的一層防護，但電訊商流程、內部人員濫用、帳戶被入侵和復原例外仍可能起作用。請查詢 PIN 具體保護甚麼，以及是否另有轉台控制。

短訊 MFA 應該全部停用嗎？

高價值帳戶在支援時應改用較強的方式，但短訊 MFA 仍可能好過完全沒有 MFA。也要檢查帳戶復原設定，因為加入其他認證因素後，短訊重設可能仍然開啟。

手機突然無服務怎麼辦？

先查看本區有否網絡故障，只在適當時重新開機或重新插卡，並透過可信連線查看電訊商通知。如果斷線無法解釋，或同時收到帳戶更改通知，請立即透過官方防詐騙途徑聯絡電訊商。

更換號碼便能解決嗎？

單靠換號不足夠。電訊商帳戶、主電郵、復原設定和已外洩身份資料可能仍有漏洞。先恢復並保護現有帳戶；如確有持續的具體需要，再與電訊商商討換號。

應該先改密碼還是先聯絡電訊商？

接管正在發生時，先恢復或凍結號碼控制權，再用可信裝置保護主電郵和金融帳戶。如果某個帳戶正被實時轉走資金，請同時透過官方途徑聯絡金融機構。

事後要留意帳戶多久？

沒有統一期限，因為外洩的資料和帳戶各有不同。請持續留意帳戶，直至電訊商設定、工作階段、復原方式、金融活動和身份紀錄在相關結單及通知周期內都保持穩定。

免責聲明：本文提供一般網絡安全教育，不能取代電訊商、金融機構、身份保護服務或合資格事故應變人員的建議。

來源

Federal Trade Commission — SIM Swap Scams: How to Protect Yourself — https://consumer.ftc.gov/consumer-alerts/2019/10/sim-swap-scams-how-protect-yourself
Federal Communications Commission — Rules to Protect Consumers from SIM Swap and Port-Out Fraud — https://docs.fcc.gov/public/attachments/FCC-23-95A1.pdf
National Institute of Standards and Technology — Digital Identity Guidelines: Authentication and Authenticator Management, SP 800-63B-4 — https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63b-4.pdf

Sources checked 2026 年 10 月 4 日。

延伸閱讀：

甚麼是 SIM 卡騎劫？識別號碼轉移、保護帳戶與恢復存取