先说三句：第一，SIM 卡劫持（SIM swap）劫的不是你的手机，而是你的手机号——骗子一旦拿到号码，你的银行短信验证码就成了他的。第二，锁住手机号有 3 招：给运营商账户设独立 PIN、给 SIM 卡设 PIN 锁、把所有重要账户的短信 2FA 换成验证器 App。第三，最快被洗劫的环节永远是短信验证码，今天就把网银和邮箱的 2FA 换掉，别等到出事。
2026 年的加拿大，几乎所有银行都把”短信验证码”当作找回密码的最后一道门：TD、RBC、BMO、Scotiabank、CIBC，登录异常、转账确认、重置密码，都会发一条 6 位数字到你的手机。骗子正是盯上了这扇门——他不需要破解你的密码，只需要让运营商把你的手机号”搬”到他的 SIM 卡上。从那一刻起，你的短信、来电、验证码全都进他的手机，而你的手机悄无声息地断网。
这不是危言耸听。Rogers 官网上专门设有”port fraud & SIM swaps”防骗页面；TD 也发布过 SIM-swap 防骗指南，把”给运营商账户设 PIN”列为最简单的防护动作。这篇文章用 3 招，把攻击路径讲透、把防护动作讲细，全部可在今天 30 分钟内做完。
第 1 节：SIM 卡劫持是怎么发生的（3 个步骤）
攻击本质是对运营商的社会工程（social engineering），不是技术黑客。标准流程只有 3 步：
- 收集信息：骗子从社交媒体、数据泄露库、钓鱼邮件里拼凑你的姓名、电话号码、生日、住址。LinkedIn 上写着的公司、Facebook 上晒的宠物名字，都可能成为运营商客服的”安全问题”答案。
- 冒充你联系运营商：打电话给 Rogers、Bell、Telus 或转网到另一家运营商（port-out fraud），声称手机丢了、要补 SIM 卡。只要答对几个客服问题，客服就会把你的号码激活到一张新 SIM 卡上。
- 收割账户：号码到手后，骗子用”忘记密码”逐一重置你的邮箱、网银、投资账户，短信验证码全部进他的手机。受害者手机只是突然没信号，很多人要几个小时后才察觉。
还有一种变体是转网欺诈（port-out fraud）：骗子不找你的运营商，而是向另一家运营商发起”携号转网”，把你的号码整个搬走。加拿大运营商都遵循 CRTC（加拿大广播电视和电信委员会）建立的转网体系，转网本来就是为了方便用户，这个合法通道也被骗子利用过。CRTC 过去曾要求运营商暂缓推行过于激进的防转网措施（部分合法转网被误杀），说明这条线攻防一直在拉锯——用户自己加锁，比等行业方案更靠谱。
第 2 节：第一招——给运营商账户加一把独立 PIN 锁
这是成本最低、效果最直接的一招。TD 防骗指南原话：大多数运营商允许客户设一个唯一的 PIN 或口令，任何账户变更前必须先报出它。
- 登录你的运营商账户（Rogers / Bell / Telus / Fido / Koodo / Public Mobile 等的官网或 App）。
- 在”账户安全”或”个人资料”里找 Account PIN / Security PIN / 口令 设置项。没有就直接打客服电话要求加。
- 设一个 6–8 位随机数字 PIN，不要用生日、电话后 4 位、 SIN 后 4 位——这些骗子手里都有。存进密码管理器。
- 确认规则：今后任何 SIM 更换、转网、账单地址变更，都必须先报这个 PIN；线下门店办理同样要求出示。
额外加固：问客服能不能在账户上加注”任何 SIM 卡变更必须本人到店 + 带两份 ID”。部分运营商支持这类备注，这是社会工程最难绕过的一道墙。具体支持情况以各运营商官网为准。
第 3 节：第二招——锁 SIM 卡本身 + 管好 eSIM
运营商账户 PIN 防的是”远程冒充”，SIM 卡 PIN（SIM PIN）防的是”物理接触”——手机丢了、SIM 被拔出来插到别的机器上，没有 SIM PIN 就用不了。
- iPhone：设置 → 蜂窝网络 → SIM 卡 PIN → 打开并修改。默认 PIN 通常是 1234，必须改掉。
- 安卓：设置 → 安全 → 更多安全设置 → SIM 卡安全 → 锁定 SIM 卡，同样把默认 1234 改掉。
注意：SIM PIN 输错 10 次左右会永久锁卡（需 PUK 码解锁），改完后把 PUK 码和运营商 PIN 一起记进密码管理器。用 eSIM 的用户注意：eSIM 可以远程重新下载，攻击者冒充你联系运营商就能重新签发——所以 eSIM 用户更依赖第一招的账户 PIN。
第 4 节：第三招——把短信 2FA 换成验证器 App（最关键）
这是 3 招里最重要的一招：短信 2FA（SMS 2FA）是 SIM swap 攻击要吃掉的唯一目标。只要重要账户还用短信收验证码，你的手机号就是单点故障。按这个优先级逐个迁移：
- 邮箱（尤其是找回邮箱）：Gmail、Outlook、iCloud 全部换成验证器 App 或硬件密钥。邮箱是所有”忘记密码”的总闸门。
- 网上银行和投资账户：加拿大五大行 App 大多支持在”安全设置”里把短信验证换成 App 内推送或验证器。逐个银行检查一遍。
- 密码管理器：1Password、Bitwarden 的主密码 2FA 必须用验证器，绝不能用短信——否则密码库和短信一起丢。
- 社交媒体和支付 App：微信、支付宝、PayPal、Interac e-Transfer 关联邮箱，能换的都换。
推荐工具：Google Authenticator、Microsoft Authenticator、Authy，或 1Password 自带的 2FA；要求最高的上硬件密钥 YubiKey。迁移时记得把每个账户的备用恢复码打印出来放保险箱——换手机时靠它救命。
第 5 节：被盯上的 5 个危险信号（出现任何 1 个立刻行动）
- 手机突然长时间无服务（No Service），重启、开关飞行模式都恢复不了——这是号码被转走的最典型信号。
- 收到运营商发来的 SIM 更换 / 转网确认短信，而你根本没操作。
- 收到银行”密码已重置””新设备登录”的通知，而你没动过。
- 邮箱里出现大量你没发起的”验证码”邮件。
- 朋友说收到”你”借钱的消息（骗子拿到号码后可能冒充你行骗）。
第 6 节：真中招了，24 小时黄金时间线
0–1 小时：止血。用另一台设备（或借电话）立刻打给运营商，冻结号码、把号码抢回来；同时打给银行冻结网银和借记卡/信用卡；改掉邮箱密码（用电脑，不要用手机）。
1–6 小时：锁门。检查银行近 24 小时所有交易，Interac e-Transfer 发出记录重点看；给 Equifax 和 TransUnion 两家征信机构加 fraud alert（欺诈警报），防止骗子用你的身份开新账户。
6–24 小时：报案留痕。向当地警方报案拿报案号（银行理赔通常要）；向 Canadian Anti-Fraud Centre（加拿大反欺诈中心）在线报案；联系运营商要一份”号码被异常转移”的书面确认，留作银行争议证据。
之后 30 天：盯梢。每天看一次银行和信用卡账单；留意 CRA My Account 有没有异常登录（退税欺诈是 SIM swap 后的常见连带）。
第 7 节：费用与关键数字单列
- 运营商账户 PIN 设置：免费，打一通电话或 App 里几分钟搞定。
- SIM 卡换卡/补卡：各运营商一般收 10–15 加元左右工本费（以官网为准），被盗后补办可要求减免。
- 验证器 App：Google / Microsoft Authenticator 免费；YubiKey 硬件密钥约 60–100 加元一个。
- 征信 fraud alert：Equifax 和 TransUnion 对身份盗窃受害者免费，警报期通常 6 年（以官网为准）。
- Public Mobile 的转网保护机制：有人发起转网时，你会收到短信，必须在 90 分钟内回复 YES 才放行——看到这种短信而你没操作，立刻联系客服。
- 银行被盗刷的追回：借记卡/信用卡盗刷走银行争议流程，时间以各银行官网为准；关键是”发现越快、追回概率越高”。
第 8 节：常见坑与红线（6 条）
- 红线：运营商 PIN 和银行卡密码用同一个。骗子从数据泄露库里撞的就是”一码多用”，PIN 必须唯一。
- 坑：以为”手机有锁屏密码就安全”。SIM swap 根本不碰你的手机，锁屏密码对此攻击零作用。
- 坑：只给银行换了 2FA，邮箱还用短信。骗子先拿邮箱，再用邮箱重置银行——链条上任何一个短信环节都是缺口。
- 红线：把验证码截图发给”客服”。真客服永远不会向你要短信验证码；要你报验证码的就是骗子。
- 坑：社交媒体晒登机牌、驾照、新家地址。这些都是运营商客服安全问题的答案来源，设为仅自己可见或删掉。
- 红线：中招后只换了 SIM 卡，没换 2FA。号码抢回来不等于安全——骗子可能已经拿到了你的部分账户访问权，所有密码和 2FA 必须重做一遍。
第 9 节：新手 checklist（今天 30 分钟做完）
- ☐ 给运营商账户设置 6–8 位独立 PIN，存进密码管理器
- ☐ 手机上打开 SIM 卡 PIN 锁，把默认 1234 改掉，记下 PUK 码
- ☐ 邮箱（Gmail/Outlook/iCloud）的 2FA 换成验证器 App，打印备用恢复码
- ☐ 网银 App 逐个检查：短信验证 → 换成 App 推送或验证器
- ☐ 密码管理器的 2FA 确认不是短信
- ☐ 社交媒体删掉或隐藏生日、住址、电话等个人信息
- ☐ 把运营商客服电话和银行挂失电话存进通讯录（出事时不用现找）
第 10 节：FAQ
Q1：我用的是 Public Mobile / Freedom 这类平价运营商，也有 PIN 保护吗？
A：各家机制不同。Public Mobile 没有传统意义上的”号码锁定”服务，但 SIM 卡更换会触发短信或邮件二次验证，转网则要 90 分钟内回复 YES 确认。建议登录自助账户确认双重验证已开启，具体以官网为准。
Q2：换成验证器 App 后，手机丢了怎么办？
A：靠迁移时打印的备用恢复码，或验证器 App 的云备份（如 Authy 多设备同步、1Password 同步）恢复。这就是为什么 checklist 里要求打印恢复码放保险箱。
Q3：运营商 PIN 和 SIM 卡 PIN 是一回事吗？
A：不是。运营商账户 PIN 是客服系统里的口令，防远程冒充；SIM 卡 PIN 是手机设置里的锁，防物理拔卡。两个都要设。
Q4：银行说”必须用短信验证码”，换不掉怎么办？
A：部分银行确实只支持短信。这时前两招（运营商 PIN + SIM 锁）就是你的主要防线，同时给银行客服打电话问清有没有 App 内验证或安全问题等替代方式，并要求在账户加注”大额转账需电话确认”。
Q5：已经收到过可疑的转网短信，但没理会，需要担心吗？
A：要。立刻登录运营商账户查有没有异常变更记录，打客服确认号码状态，并顺手把本篇 3 招全部做一遍。有过一次试探，就可能有第二次。
相关阅读
官方来源：Rogers 官网防骗页面、TD 官网 SIM-swap 防骗指南、CRTC 官网。核验于 2026年10月22日。
关键政策以运营商、银行及 CRTC 官网为准。本文仅供信息参考，不构成法律/移民/医疗/投资建议。
📱 更多加拿大生活干货，欢迎加微信交流：UUUMGT
