你有没有遇到过手机突然疯狂收到验证码短信，几分钟内来了几十条，甚至上百条？这很可能不是系统出错，而是遭遇了“短信轰炸”攻击。这种攻击利用网站或App的短信验证码功能，恶意批量发送短信，不仅骚扰用户，还可能为后续诈骗铺路。
短信轰炸是怎么回事？
所谓短信轰炸，本质是攻击者通过自动化脚本，反复调用某个平台的“发送验证码”接口，把目标手机号作为接收号码提交。比如你在某网站注册时点“获取验证码”，正常流程是一次请求发一条。但黑客用工具模拟成百上千次请求，你的手机就成了收件箱。
常见场景比如：有人填你手机号注册外卖账号、游戏试用、优惠券领取等，后台不断发验证码，你就开始被“轰炸”了。
为什么普通验证码防不住？
很多小网站为了省事，验证码接口没有做基础防护。比如不校验请求频率、不限制IP、不加图形验证码前置验证。这就等于把大门敞开，谁都能进来按“发送”按钮。
举个例子：一个注册页面只要输入手机号就能点击“获取短信验证码”，没滑动验证、没图形码、没限制“60秒内只能发一次”，那它大概率已经被黑产盯上了。
技术层面该怎么防护？
如果你是开发者，可以在服务端加上几层过滤机制：
<?php
// 示例：简单记录IP+手机号的发送次数
$ip = $_SERVER['REMOTE_ADDR'];
$phone = $_POST['phone'];
$key = "sms_limit_" . md5($ip . $phone);
if (redis_get($key) >= 3) {
die("发送过于频繁");
} else {
redis_increment($key, 1);
redis_expire($key, 3600); // 一小时内统计
send_sms($phone);
}
?>除了限频，还可以引入图形验证码（如极验、阿里云滑块），确保是真人操作再允许调用短信接口。同时对高频请求来源IP做临时封禁，能大幅降低被滥用的风险。
普通用户怎么应对？
如果你正被短信轰炸，先别慌。可以尝试打开手机自带的“骚扰拦截”功能，设置关键词过滤，比如屏蔽包含“验证码”“登录码”的陌生短信。iPhone 用户可在“信息”设置里开启过滤；安卓一般在短信App的设置中能找到类似选项。
更彻底的办法是换号前冻结旧号，避免被人持续用来注册。平时填写手机号时，优先选择大平台，对来路不明的小网站保持警惕，别随便留真实号码。
有些运营商也提供“短信炸弹”应急防护服务，拨打客服或通过官方App搜索“短信防护”就能开通，开启后会暂时拦截所有非联系人短信，适合被猛烈攻击时使用。
平台责任不能缺位
归根结底，防护不能只靠用户自己。每个提供短信验证功能的平台都该承担起基本的安全义务。哪怕只是加个图形验证码，也能挡住大部分自动化攻击。用户信任你才留下手机号，结果反被骚扰，伤害的是平台自己的口碑。
现在工信部也在推动整治此类问题，要求企业加强接口安全管控。作为用户，发现哪个平台被滥用了，不妨去投诉反馈，倒逼他们改进。