冒充运营商的信号：伪基站与 IMSI 猫——为什么你的手机会"自愿"投奔骗子

你有没有过这样的瞬间：走在街上，手机信号突然掉到”2G”，然后”叮”一声——一条”您的积分即将过期，请点击链接兑换”的短信进来，发件人号码长得跟运营商官方号码一模一样。你以为这是运营商发的，其实那一刻，你的手机正连着一个藏在汽车后备箱里的”假基站”。

上一篇我们说过，伪基站是让监管者头疼几十年的老对手。这一篇把它拆开：为什么一个老掉牙的 2G 漏洞，今天还能骗过你的手机？那个”抄走你身份”的 IMSI 猫到底是什么？以及，在 5G 时代，为什么它还没死透。

一、信任的缺陷：2G 时代设计者没想到会有坏人

一切要从 1990 年代的 GSM 协议说起。那时候设计者默认一个前提：基站是运营商自己人，可信。 所以协议只做了一件事——手机认证网络（通过 SIM 卡的密钥和网络对算），网络却几乎不认证手机，手机也从不验证”这个基站是不是真的”。

这就是著名的单向认证缺陷：

环节	设计	问题
手机 → 基站	手机证明自己是合法用户	基站可以随便宣称”我是运营商”
基站 → 手机	几乎不验证	谁都能当”基站”，手机照单全收
身份传输	注册时明文上报 IMSI	手机”身份证号”直接发给陌生人

更重要的是：GSM 设计了一个”择优录取”机制——谁信号强就选谁。所以假基站只要发射比真基站更强的信号，附近手机就会像看到满级灯光一样主动投奔过去。手机不是被骗了，它是被”更强的信号”吸引走的，然后老老实实把自己的 IMSI（国际移动用户识别码，相当于手机的身份证号）报上去。

金句：2G 时代的设计者信任基站，就像信任邻居——可惜几十年后，敲门的不一定是邻居。

二、伪基站解剖：藏在后备箱里的”假运营商”

一个典型的伪基站，硬件朴素得惊人：

笔记本/工控机（跑发短信软件）
  + GSM 发射模块（几十瓦）
  + 全向天线（装作基站）
  + 一部测试手机 + 电瓶（供电）
≈ 装进一个双肩包或汽车后备箱

整套设备几千块钱，黑市租用更便宜。工作原理就三步：

抢占：发射比真基站更强的信号，让附近手机切换到它。手机屏幕表现为信号满格，但网络类型显示为”仅 2G”。
收割：手机注册时，明文上报 IMSI 和 IMEI（设备号）——伪基站轻轻松松抄下来。
群发：以运营商官方号码（如 10086、955xx）为伪装，向范围内手机群发钓鱼短信。高峰期一台设备一天能发几十万条，覆盖一个小区。

短信内容基本就是那三板斧：“积分兑换”、”信用卡提额”、”账单异常”——诱导点击钓鱼链接或回拨钓鱼电话。因为发件号码能伪造得跟真官方一模一样（短信中心号可伪造），辨识度极低，这是它骗过大量中老年人的核心。

三、IMSI 猫：从”群发短信”到”抄身份”

如果伪基站是”喇叭”，IMSI 猫（IMSI Catcher）就是”偷听器”。它的核心能力不是发短信，而是截获手机的 IMSI 并在网络里追踪它。分两种：

类型	原理	用途
主动式	直接冒充基站，逼手机注册，明文收 IMSI	执法/黑产，伪基站本质就是它的”主动版”
被动式	不强制连接，只安静监听手机与真基站的通信，解析其中的 IMSI	更隐蔽，”偷听者”式收集

被动式 IMSI 猫的门槛低到什么程度？DEF CON 黑客大会上有人演示：用一根 HackRF 配合开源软件，不到 10 分钟就捕获了会场内几十部手机的 IMSI。这类设备连无人机都能挂——已有厂商把 IMSI 猫做成无人机载荷，飞过一片区域就能”点名”下面所有手机。执法机构手里的著名型号叫 Stingray，过去十几年在美国被大量使用，也引发了巨大的隐私争议——它不挑目标，路过的人全被”点名”。

IMSI 猫的硬件本身也毫无神秘感：一个多频段 GSM 收发模块（一块砖头大小的射频板）、一根天线、一部旧手机当”靶机”验证连接、一台电脑跑开源软件。主动式版本还要加一个 SIM 卡槽——插一张普通 SIM 卡，用来”借”运营商的网络参数伪装自己，让手机更愿意连过来。全套成本从几百到几千元不等，在淘宝和海外网店都能买到现成的”伪基站套餐”。它不贵、不难、不挑人——这就是为什么它和伪基站一起，成为监管者几十年的心头大患。

开源项目：伪基站攻防的”同一套代码”。 IMSI 猫和伪基站并不神秘——它们所用的收发与解码能力，在开源社区都是公开的项目，读 README 就懂原理：

OpenBTS（RangeNetworks）：README 的第一句就是”把 GSM/GPRS 基站做成一个软件”。它让一台普通的 Linux 电脑 + 一块 SDR（如 USRP）就变成一座能接入真手机的 GSM 基站，还带 SIP 电话网关、短信服务、GPRS 数据支持。它最初的定位是”给偏远地区做便宜基站”，但同一个软件装进后备箱，就是伪基站的”发射端”。 这解释了一个关键事实：伪基站不是军工科技，是”开源的基站软件 + 几百块的 SDR”。
gr-gsm（Osmocom，Piotr Krysik）：GSM 信号的”监听/解码工具链”。README 列出的模块包括 GSM 下行接收、语音信道解复用与解码、GSM 全部加密算法的解密模块、突发脉冲（burst）存储读取、跳频反转等——它是从”空气中采集 GSM 信号”到”解出里面的信令和内容”这条链路的开源实现。被动式 IMSI 猫的软件层，很多就建立在它之上。
AIMSICD（CellularPrivacy）：防守侧的对应物，Android 上的开源”伪基站检测器”。README 明确它的能力：监控基站一致性、检测异常降级与静默短信、识别疑似 IMSI Catcher/StingRay 信号。这就是第八节防御指南里”开源检测工具”的具体所指。

黑客大会上的”GSM 攻防史”。 早在 2008-2009 年，柏林 CCC 黑客大会（25C3/26C3）上，Karsten Nohl 团队就公开演示过低成本破解 GSM 加密（A5/1）：预计算”彩虹表” + 抓包实时比对，用几百欧元的普通硬件在几分钟内解出 GSM 通话内容。这直接改写了”GSM 很安全”的叙事——通信加密能被廉价破解，基站又从不验证身份，2G 的”伪基站可乘之机”其实是连环漏洞。

四、攻击链与黑产价值：一条短信背后的产业

伪基站从来不是孤立的，它是电信诈骗产业链的”引流环节”：

1	伪基站群发钓鱼短信 → 诱导点击钓鱼链接/回拨 → 钓鱼网站骗取密码验证码 → 洗钱团伙变现

黑产里这套设备的价值很明确：

短信引流：以运营商名义群发，成本极低、触达极广，是电诈获客的”廉价广告位”。
IMSI 收集：抄走的 IMSI + IMEI 组成”设备指纹库”，可以卖给灰产做精准营销、甚至二次诈骗。2021 年北京通州破获的案子很有代表性：嫌疑人通过交友 APP 找”兼职”，接单的正是境外（缅北）电诈集团，让他们带着伪基站设备在街头”发单”，按日结薪。

近亲：短信轰炸（呼死你）。 伪基站的邻居是另一条黑产链——短信轰炸。2026 年 4 月太原警方打掉的一条黑产链很有代表性：一名自学编程的嫌疑人从 2022 年开始代理”爆破手”短信轰炸软件，2023 年自行开发同类软件、以五级代理模式分层售卖，一层层转包到最终使用者手里。这类软件的原理不是架设备，而是批量调用大量正规网站的短信验证码接口，让网站们替黑产”轰炸”目标手机——所以打击它的难点不在信号层，而在平台层：黑产反复变换接口，平台疲于封堵。短信轰炸和伪基站的共同点，是它们都把”正常通信功能”拧成了”骚扰武器”——一个用基站冒充运营商，一个用网站冒充关怀。

一次「伪基站钓鱼」的完整时序还原

把前面的原理串成一条完整的攻击时序，你会更直观地看到”伪基站”是怎么在几秒钟内”骗走”你的：

第 0 秒   攻击者打开后备箱里的伪基站，发射大功率 GSM 信号
第 1 秒   你路过，手机"择优录取"，从真基站切换到伪基站
第 2 秒   手机屏幕：信号满格，但网络变成"仅 2G"
第 3 秒   手机注册，明文上报 IMSI（身份证号）给伪基站
第 4 秒   伪基站记录你的 IMSI + IMEI（设备号）
第 5 秒   伪基站以"10086"的名义，给你群发钓鱼短信
第 6 秒   你点开短信里的链接，进入一个仿冒的兑换页面
第 7 秒   你输入银行卡号、密码、验证码
第 8 秒   这些信息实时传到诈骗团伙后台

整个过程不到 10 秒，你甚至没意识到”手机换过基站”。这里的每一步，都对应前面讲的一个技术点：

第 1-2 秒：单向认证缺陷 + “谁信号强信谁”的择优机制；
第 3-4 秒：注册时明文上报 IMSI；
第 5 秒：短信中心号可伪造，冒充官方号码；
第 6-8 秒：这是伪基站的”后半程”——它只负责”引流”，真正的收割在钓鱼网站上完成。

关键认知：伪基站本身不”偷钱”，它只负责”把人引到钓鱼网站”。 伪基站是电信诈骗产业链的”引流环节”，后面的钓鱼网站、话术、洗钱才是”收割环节”。这也是为什么打击伪基站，要连同整个产业链一起打——只抓”发短信的”，不抓”收钱的”，治标不治本。

五、真实案例：从”骚扰罪”到”诈骗罪”的量刑进化

伪基站案件的司法定性，本身就是一部”危害认识”进化史：

时间	案件	结果/意义
2014	北京首例伪基站案（张国领）	骚扰 8 万人，获刑 4 年
2015	全国首次以”诈骗罪”定罪	此前多按破坏公用电信设施罪等处理，此次明确直接参与诈骗的按诈骗罪重判
2017	北京通州”工行积分兑换”钓鱼案	冒充中国工商银行群发，骗 373 人共 120 余万元，多人被判刑
2021	通州 8 人团伙案	通过交友 APP 被缅北电诈”招工”，街头发单被刑拘
2023 前后	多地公开案例	均按《刑法》第 288 条（扰乱无线电通讯管理秩序罪）或诈骗罪从重处罚

刑法第 288 条大家上一篇已经见过；而一旦设备被用于直接诈骗，罪名升级为诈骗罪，量刑更重。最高法、最高检的司法解释明确把”使用伪基站发送诈骗短信”列为情节严重情形。

六、为什么还没死透：2G 退网的漫长告别

伪基站的命根子是 2G——而 2G 到今天还没完全退干净，这就是它没死透的原因。截至 2026 年中：

中国联通：2020 年前后就启动 2G 关停，2025 年底已在全国范围停止 2G 服务；浙江联通的 3G 也于 2026 年 6 月全面关停。
中国移动：多省推进 2G 退网，陕西移动计划 2025 年 12 月 31 日前关停全省 2G；上海等地 2G 仍保持基础服务。
存量设备：全国仍有约 3000 万台 2G 老年机在使用，大量未及时换机；农业物联网、部分车联网模块、智能水电表仍依赖 2G/3G 低功耗网络。

所以现状是：城市里 2G 信号越来越稀，但没消失；农村和物联网场景还赖着它。 只要有一格 2G 覆盖，伪基站和降级攻击就有可乘之机。工信部 2023 年底在答复中就明确过：退网是趋势，但要”以用户为中心”，保障老人机、物联网平稳过渡——这既是民生考量，也是安全上的一道坎。

七、降级攻击：4G/5G 时代伪基站怎么还活着

有人问：我手机用 4G/5G，伪基站不是没辙了吗？——对，但攻击者会逼你降级：

攻击者先释放干扰信号，压制你周围的 4G/5G 信号
  ↓
你的手机找不到"更好的网络"，自动回落到 2G（很多手机允许自动降级）
  ↓
2G 网络不验证基站 → 伪基站接管 → 收割 IMSI / 发钓鱼短信

这就是著名的降级攻击（Downgrade Attack）：不是黑掉你的 5G，而是把战场拖回 2G 老规则。

先看 5G 到底做了什么加固，你就明白攻击者为什么非降级不可：

代际	身份传输	基站认证	短板
2G	注册时明文上报 IMSI	几乎不验证（单向）	身份与连接双双裸奔
3G/4G	IMSI 部分加密，但部分流程仍会明文出现	有双向认证	降级路径存在、加密不彻底
5G	用 SUCI（隐藏标识符）加密身份，运营商私钥才解得出	完整双向认证	加密管不住”你主动掉回 2G”

5G 的 SUCI 机制相当漂亮：手机把 IMSI 用运营商的公钥加密后再发出去，空中飘着的只有一串密文，伪基站就算截获了也解不开。但它管不到”你主动掉进 2G”这件事——攻击者先用干扰设备压制周围的 4G/5G 信号，手机找不到”更好的网络”就自动回落 2G（很多手机默认允许自动降级），一进 2G，SUCI 的加密全部作废，身份重新变成明文。所以你会看到：信号满格却突然显示 2G、网速消失、收到钓鱼短信——这几个信号凑在一起，几乎就是伪基站在附近。

八、防御指南：普通人怎么防

防御分三档，由硬到软：

第一档：系统级关掉 2G

Android 12+ 提供”关闭 2G”选项；Android 14 起企业/高级用户可更严格限制网络类型。iOS 在部分运营商下可强制 LTE/5G。
把自己日常用的手机设成”仅 4G/5G（LTE-only）”，等于从根上堵死降级攻击。代价：极端情况下信号覆盖差，但城市里基本无感。
这也是安全圈（如 GrapheneOS 这类注重隐私的系统）一直强调的默认设置。

第二档：异常识别

用 AIMSICD 等开源检测工具，能识别”伪造基站/降级事件”并告警。
凭常识：信号满格却打不通电话、突然变 2G、收到”积分兑换/信用卡提额”类短信——先当它是假的。

第三档：行为纪律

任何”兑换积分/提额/异常扣款”短信，一律不点链接、不回拨，自己打开官方 App 或拨官方客服核实。
收到含验证码的短信而你没在操作——警惕，验证码绝不外泄。
怀疑被伪基站覆盖时，开飞行模式再关掉（重新选网）通常能恢复 4G/5G。

金句：你的手机不是不想反抗，是它太想”有信号”了——防住降级，就防住了大部分套路。

补一句给普通读者的判断口诀：当你发现手机信号满格、却突然掉到”仅 2G”，紧接着收到一条带链接的短信时，多留个心眼——正常基站不会在”你刚换网”的瞬间精准群发福利短信。信号异常 + 链接短信，是伪基站最典型的两个马脚。

九、边界声明

本文为移动通信安全科普，全部案例均来自公开报道，用于说明伪基站与 IMSI 猫的危害与法律后果。文中不提供任何设备搭建、信号发射、频率参数或攻击方法。非法设置、使用无线电台，冒充基站干扰电信网络，非法获取公民个人信息，均属违法犯罪行为，将面临《中华人民共和国刑法》第 253 条（侵犯公民个人信息罪）、第 285/286 条、第 288 条及治安管理处罚法的追责。请勿尝试。

素材来源

央广网《设伪基站”钓鱼”诈骗 373 人 120 余万元多人被判刑》（2017）
新京报《北京首例”伪基站”案宣判骚扰 8 万人获刑 4 年》（2014）
中证网《发短信日薪 1500 元起伪基站案首次被判”诈骗罪”》（2015）
新京报《设”伪基站”涉嫌帮电信诈骗分子行骗，8 人被通州警方刑拘》（2021）
环球网《8 人团伙利用伪基站发短信诈骗，百余人共被骗 95 万》
Zimperium Mobile Security Glossary《IMSI Catcher》
Android 官方移动网络安全说明（Android 12 关闭 2G / Android 14 网络安全功能）
DEF CON 公开演示报道（HackRF 被动 IMSI 捕获）
澎湃新闻、新浪财经关于 2G/3G 退网的系列报道（2026 年中，联通 2G 停止服务、浙江联通 3G 关停、陕西移动退网公告）
工信部关于 2G 退网与老年人、物联网保障的公开答复（2023 年底）
3GPP 5G 标准 SUCI（Subscription Concealed Identifier）机制说明
GrapheneOS 等安全项目文档：关闭 2G / LTE-only 缓解降级攻击的建议
RangeNetworks/OpenBTS GitHub README（Linux + SDR 变 GSM/GPRS 基站、SIP 电话网关、GPRS 支持）
osmocom/gr-gsm GitHub README（Piotr Krysik；GSM 接收/语音信道解码/全部加密算法解密模块/burst 存储）
CellularPrivacy/AIMSICD GitHub README（Android 开源伪基站/IMSI Catcher 检测）
Ars Technica（2009-12-28）：Karsten Nohl 团队在柏林 CCC 大会（25C3/26C3）演示低成本破解 GSM 加密（A5/1 彩虹表预计算）
《中华人民共和国刑法》第 253、285、286、288 条

上一篇（SDR 无线电入门）—— 2026082401 SDR 软件无线电入门：用一百块的”电视棒”打开电磁世界
上一篇（卫星攻击史）—— 2026082402 “一键日卫星”卫星攻击史：从 ROSAT 到 KA-SAT
隐私反侦察系列 —— 2026082301 Wi-Fi 感知攻击：你的路由器在出卖你
隐私反侦察系列 —— 2026082202 行踪反侦察：用尽技术手段也别让人定位你
近源渗透系列 —— 2026062702 玩转 Flipper Zero：RFID 全功能介绍
GPS 欺骗与导航战 —— 2026082406 你手机里的”真北”是谁说的：GPS 欺骗与导航战

下篇预告：下一篇进入蓝牙/BLE 安全——你的耳机、手环、车钥匙、智能门锁，都在同一个 2.4GHz 频段里裸奔着什么。