为什么持有人已验证身份的号码能持续收到验证码

服务真正想确认的是什么

账户上的电话号码是一种承诺：这是一个真实的人，换了新电脑或忘了密码时，仍然能通过这个号码找到。服务早已摸清哪些号码守得住这个承诺，哪些守不住。

服务为什么过滤 VoIP 号码和租用号码

网络号码便宜，创建又快，所以哪里有虚假账户，哪里就有它们。Twilio 为许多公司发送验证码，它这样告诉客户：“VoIP numbers are often correlated with bots and don't have the same assurance that you're interacting with a real and unique user”（VoIP 号码常与机器人相关，无法同样确保你面对的是一个真实且唯一的用户，Twilio）。

安全指南也指向同一方向。NIST 较早版本的数字身份指南规定，凡是“that do not prove possession of a specific device, such as voice-over-IP (VOIP) or email, SHALL NOT be used”（不能证明持有特定设备的方式，例如 VoIP 或电子邮件，不得使用，NIST）。当前修订版则要求验证方“SHOULD consider risk indicators (e.g., device swap, SIM change, number porting, other abnormal behavior)”（应当考虑风险指标，例如更换设备、更换 SIM 卡、号码携转及其他异常行为，NIST）。

租用号码和共享号码的问题不同：重复使用。一个每周换一次主人的号码，会收到之前每一任使用者的验证码，最后还会挂在一堆没人打算长期保留的账户上。服务不会公开自己的反欺诈规则，所以我们无法说清每家具体检查什么。但一个背后有一长串陌生人的号码，恰恰与那份承诺背道而驰。号码类型检查如何运作。

回收号码会带来什么

就连普通的手机号码也会转到别人手里。FCC 的数据是“Approximately 35 million numbers are disconnected and made available for reassignment to new consumers each year”（每年约有 3500 万个号码被停用，并可重新分配给新用户），并规定停用的号码在分配给新用户之前，须经过“a minimum aging period of 45 days”（至少 45 天的冷却期，FCC）。对住宅号码，这条规则既有下限也有上限：它们“may be aged for no less than 45 days and no more than 90 days”（冷却期不少于 45 天、不超过 90 天，eCFR）。

2021 年，普林斯顿大学研究人员 Kevin Lee 和 Arvind Narayanan 对两家大型运营商提供给新用户的号码进行了抽样（Princeton）：

• 普林斯顿大学，关于账户

  “171 of 259 numbers we sampled were vulnerable to account hijackings at six popular websites”

  我们抽样的 259 个号码中，有 171 个可被用来劫持六个热门网站上的账户

  https://recyclednumbers.cs.princeton.edu/

• 普林斯顿大学，关于验证码

  “still receiving sensitive communication meant for previous owners, such as authentication passcodes”

  仍在收到发给前任持有人的敏感信息，例如身份验证密码

  https://blog.citp.princeton.edu/2021/05/03/phone-number-recycling-creates-serious-security-and-privacy-risks-to-millions-of-people/

第二项发现是：他们观察的 200 个号码中，仅一周内就有 19 个出现这种情况（Princeton CITP）。他们给换号的人的建议是“park the number”（把旧号码留着），当作一条便宜的备用线路。对依赖短信验证码的人来说，教训是：号码本身不如谁在持有它、持有多久重要。

Cleat 为什么要求每位线路持有人验证身份

我们无法控制服务如何给号码打分，但可以控制谁在使用我们的号码。所以在线路持有人验证身份之前，Cleat 线路收到的短信不会向任何人显示。一条线路，对应一个已知的人，只要订阅就一直如此。

• 不会有一茬又一茬的陌生人。线路不会按周转手，也不会公开共享，所以它的历史始终只属于一个人。
• 不能替别人验证。如果验证失败、看起来有欺诈嫌疑，或是代他人完成的，我们可以拒绝、暂停或移除访问权限。我们的规则。
• 明确的使用限制。我们的条款禁止欺诈、冒充他人、接收发给他人的短信以及转售线路。

同时也要坦白它的局限：

• 服务永远看不到你的证件。它看到的只是一个美国手机号码。身份验证让我们的号码长期保持干净，但不会给你一张通行证。
• 这不是保证。大多数拒绝 VoIP 的服务都接受真实的手机线路。但没有哪家服务商能承诺所有服务都接受所有号码。
• 你的号码以前可能有过持有人。和几乎所有美国号码一样，Cleat 号码从可用号码库中分配。我们无法保证它从未被使用过。
• 我们的号码也会被回收。如果计费终止，我们会为你保留号码 30 天，之后释放，它以后可能分配给别人。请先把你的账户从这个号码上迁走。

我们保存什么，不保存什么

你的证件和自拍会发送给我们的身份验证服务商，由它进行核验。Cleat 收到的是核验结果和核验的参考编号，而不是你的证件或自拍副本。我们不存储证件图片。如果选择仅证件验证，Cleat 的工作人员会在批准前实时查看服务商的结果：证件类型、签发国家和有效期。该服务商作为我们的服务提供方处理这些数据，我们的隐私政策写明了它的名称。

对于线路本身，我们保存运行它所需的信息：线路收到的短信（发件人、内容、时间以及我们识别出的验证码）、来电的转写文字、你的账户信息和设置。短信只有你工作区的成员能看到。其余内容，包括我们保存多久，请看隐私政策。

如果你准备购买线路，这意味着什么

1. 01只需验证一次，大约两分钟，用政府签发的证件和一张自拍。不想自拍？选择仅证件验证，由人工审核。
2. 02可以先付款。你的短信会等你完成验证后再显示。
3. 03线路登记在你名下，所以请为自己或自己的公司购买，不要替别人买。如果客户想用自己名下的账户，线路应该由他们持有。
4. 04团队成员无需验证。他们接受邀请后就能看到验证码。Cleat 团队版。
5. 05只要还有账户依赖这条线路，就一直保留它。这就是普林斯顿研究的实际启示。按年计费为 US$249.90，相当于免费两个月；详见价格。

如果你不想向任何人出示证件，Cleat 就不适合你。Google Voice 与 Cleat 对比介绍了一个免费选择，以及它的代价。