SS7 信令网缺乏足够鉴权，攻击者可滥用 SendRoutingInfo 等消息定位用户或截获短信验证码；SIM Swap 则通过社工运营商将受害者号码转移至攻击者 SIM 卡，绕过短信二次验证。
一、防御侧建议：停用短信作为唯一二次因子
python
# 高风险操作（改密、转账）强制要求 FIDO2/WebAuthn 而非短信 OTP
def require_strong_mfa(user, action):
if action in ("change_password", "transfer_funds"):
if not user.has_webauthn_device:
raise PermissionError("必须绑定硬件安全密钥")
return True