内容摘要：凌晨三点，手机屏幕突然亮了。一条验证码短信，来自某购物平台。我没在意，翻个身继续睡。接下来十分钟，又来了十七条。不同的平台，不同的验证码，相同的是它们都涌向我的号码。那一刻我彻底清醒了——这不是系统故

凌晨三点，验证手机屏幕突然亮了。码骚一条验证码短信，扰软来自某购物平台。验证我没在意，码骚翻个身继续睡。扰软接下来十分钟，验证又来了十七条。码骚不同的扰软平台，不同的验证验证码，相同的码骚是它们都涌向我的号码。那一刻我彻底清醒了——这不是扰软系统故障，是验证有人在用我的手机号批量触发验证码接口。

这种攻击有个通俗的码骚名字：短信轰炸。原理不复杂。扰软很多网站和App在注册或登录时，只需要输入手机号就能发送验证码，并不要求先通过图形验证码或行为验证。攻击者写一个脚本，把目标号码丢进几十上百个这样的接口里循环调用。每个平台发一条，加起来就是几十条。如果脚本再狠一点，加上时间循环，一分钟上百条短信毫不夸张。

我后来查过那个凌晨的短信记录。发送方包括外卖平台、婚恋网站、在线教育App、甚至一个我从未听说过的宠物用品商城。它们唯一的共同点是：验证码发送接口没有做频率限制，或者限制形同虚设。有的平台同一号码十秒内可以请求五次，有的干脆没有任何限制。写脚本的人只需要收集这些“脆弱接口”的列表，就能组装出一把廉价的骚扰枪。

这类软件在灰色渠道里流传很广。我见过一个所谓的“轰炸机”界面截图，输入手机号，选择轰炸时长——五分钟、一小时、一天——然后点击开始。后台会自动轮询接口列表。有些版本还提供“点对点定制”，比如只轰炸某个运营商的号码，或者避开某些会封禁IP的平台。价格呢？按天算，几块钱到几十块钱不等。便宜得离谱。

被轰炸的人是什么感受？我那次持续了大约四十分钟，最后不得不开启飞行模式。短信提示音像机关枪一样响，手机发烫，通知栏被塞满。更麻烦的是，真正的验证码混在里面，你根本找不到。如果你正在等一个重要的登录验证，那就彻底完了。有人因为被轰炸错过了银行转账验证，有人因此漏掉了工作消息。这不是恶作剧，是实实在在的干扰。

平台方有没有责任？当然有。验证码接口的设计初衷是方便用户，但方便不能以牺牲安全为代价。一个基本的频率限制——比如同一号码60秒内只能请求一次——就能挡住大部分脚本。再加一个图形验证码或者滑块验证，成本几乎为零。可很多中小平台就是不做。为什么？因为验证码发送量是他们的KPI之一，限制频率意味着数据不好看。这种短视的逻辑，直接给攻击者留了后门。

运营商那边也不是完全没动作。我后来打电话问过客服，对方说可以开通“短信轰炸防护”业务，但需要主动申请，而且只拦截部分已知的骚扰源。换句话说，默认状态下，你的手机号就是裸奔的。更讽刺的是，有些轰炸软件用的就是运营商自己的短信通道，只是换了个端口号。

普通人能做什么？第一，别随便在不明网站填手机号。第二，如果被轰炸了，立刻联系运营商开通防护，同时截图保留证据。第三，去12321网络不良与垃圾信息举报受理中心投诉。虽然举报不一定能立刻抓到人，但至少能让那些接口被标记。我那次举报后，有两家平台回访说已经加了频率限制。算是有点用。

说到底，验证码骚扰软件能活到今天，不是因为技术多高明，而是因为太多平台把“方便”放在了“安全”前面。写脚本的人只是捡了现成的漏洞。哪天这些漏洞堵上了，轰炸机自然就哑火了。在那之前，保护好你的手机号，它比你想的更值钱。