收到验证码后，先别急着填

很多人以为验证码只是登录时多一步，填完就完事。实际上，它更像一把临时钥匙——谁拿到，谁就能在一定时间内代表你操作账户。问题在于，这把钥匙有时会被我们自己递出去。

最常见的场景是冒充客服。对方能报出你的姓名、订单号，甚至最近一笔消费金额，然后说系统异常需要核实身份，让你把刚收到的六位数字念给他。去年某地反诈中心通报过一个案例：一位用户在某电商平台下单后接到电话，对方称快递丢失要理赔，引导他查看短信。短信里写的是“您正在进行账户绑定，验证码123456，请勿泄露”。他念完不到两分钟，账户绑定的手机号就被改成了别人的。这里的关键不是骗术多高明，而是验证码短信里往往已经写清楚了用途，只是我们习惯性跳过那行小字。

另一个常见疑问是：语音验证码是不是比短信安全？不一定。语音验证码会直接念出数字，如果手机开着免提，旁边的人能听到；如果接到的是“客服”电话，对方甚至可能让你按免提，说是“方便指导操作”。更实际的风险是，部分平台的语音验证码会重复播报，一旦被录音，短时间内可以反复使用。所以收到语音验证码时，先确认自己刚才有没有主动发起操作，没有的话直接挂断，不要按任何键。

还有人问：平台客服主动要验证码，是不是一定有问题？绝大多数情况下，正规平台的客服不会向你索要验证码。他们能看到的账户信息比你想象的多，不需要通过你来“核实”。如果对方说“系统显示您账户异常，需要验证码解除限制”，更合理的做法是挂断，自己打开App或官网找在线客服，而不是顺着对方给的链接或电话走。少数银行在办理某些业务时确实会发送验证码给柜员核对，但那种场景是你人在柜台前，不是电话里。

除了不转发，还有几个细节值得注意。第一，验证码短信不要截图发到群里，哪怕对方说是“朋友帮忙看一下”。截图里可能包含完整的号码和有效期。第二，手机锁屏通知会显示验证码内容，在公共场合或有人靠近时，尽量把通知详情关掉，或者设置成仅显示“收到一条短信”。第三，如果手机突然没信号、收不到短信，又有人打电话说你“号码有问题需要配合操作”，这可能是补卡攻击的前兆，先联系运营商确认，不要按对方指示操作。

对于经常需要处理工作消息的人，还有一个折中办法：把验证码短信单独设一个提示音，或者用第二张卡专门接收验证码。这样至少能在第一时间分辨出哪些短信是敏感操作触发的，而不是混在一堆通知里随手划掉。

最后一条最朴素：收到验证码，先停三秒。看短信里写的“用途”和“金额”，想一下自己刚才有没有发起这个操作。如果没有，删掉短信，不回复、不转发、不念给任何人。这三秒能挡掉大部分麻烦。