定义
SIM Swap（也叫 SIM 卡盗用 / 换卡攻击）指攻击者通过社工手段说服运营商把目标的手机号转移到自己控制的 SIM 卡上。一旦得手，原 SIM 失去信号，所有发到这个号码的短信和电话都进攻击者口袋。
这是一个不依赖技术漏洞的攻击 —— 完全靠"运营商客服愿意相信哪一方"。这也是为什么短信 2FA 那道锁的钥匙不在你手上：钥匙在客服那里。
攻击链条
第一步信息收集 —— 从泄露库买姓名、身份证号、出生地、母亲姓氏。第二步渠道选择 —— 打客服挂失、跑营业厅出伪造证件、或发展运营商内鬼。第三步清洗 —— 攻击者通常只有几小时窗口，优先冲击短信 2FA 的交易所账户和邮箱。
真实案例
2019 年 Twitter 创始人 Jack Dorsey 本人账户被 SIM Swap 攻破。美国 FBI 2021 到 2024 年累计接到的加密相关 SIM Swap 报案超过 1600 起，公开报告的损失金额在数千万美元规模。
防御要点
第一档：放弃短信 2FA。把交易所、邮箱、密码管理器的二次验证全部换成 Passkey 或 YubiKey，这是釜底抽薪。
第二档：给运营商号码加 PIN。三大运营商都支持给手机号设一个业务密码，没有这个密码柜台不允许补卡。五分钟搞定。
第三档：高净值号码独立化。注册交易所专用一个手机号，从来不在社交平台、外卖、电商上留这个号。
完整推演：2FA 的真相 · 为什么短信不安全 和 钓鱼诈骗全图谱。