关键信息是怎么被泄露的？

当然，如果仅仅知道许先生的手机号码，犯罪嫌疑人也无法完成这一复杂的操作。根据警方分析，对方至少知道许先生网上营业厅的登录密码，以及身份证号码、银行卡等信息，用于预订业务设置陷阱，绑定银行卡，转账等行为。

随之而来的问题是，这些信息究竟是怎么被犯罪嫌疑人掌握的？

猎豹移动安全专家李铁军给出了一个令人咋舌的事实，“我们统计发现，全国诈骗嫌疑人每天会尝试登录2000-3000张银行卡，而且这些银行卡都匹配着正确的身份证、手机号信息。”

如果按照这一统计估算，每年遭到攻击的银行卡数量大概有70万-100万张，涉及金额接近200亿元。与之相关的黑色数据产业链则更大。在国内，包括网易、12306等网站均发生过数据泄露，大量用户数据通过非法渠道交易，很多互联网用户并没有隐私。

但由于绑定银行卡，以及进行大额转账、支付时通常需要用户输入验证码，只要不轻易泄露收到的短信验证码，犯罪嫌疑人很难得逞。

“很少有人注意到自助换卡的漏洞，只能说明这次的诈骗手段确实高明。”李铁军说。不过高明不意味着这个漏洞无法填补。在李铁军看来，只要运营商优化自助换卡的流程，提醒许先生这样的用户已经进入换卡流程，并且不要泄露验证码，“犯罪嫌疑人得不到手机号码的使用权就没办法进一步操作。”

运营商相关人员表示，如果收到短信被告知预订了一些服务，自己又吃不准时，可以不用短信，改用电话退订。

微博账号@微火星经许先生授权披露其经历，目前支付宝、百度银行已经承诺赔付。但中国银行、中国工商银行、招商银行没有任何进展，报警立案以后，公安机关也暂未给出回复。