早上醒来，手机显示无服务，打不出去也接不到。第一反应是欠费了，查了没欠费，打运营商客服才知道：你的号码昨晚被转移到了别人名下。这就是 port-out scam（号码携出诈骗），也叫 SIM 卡劫持。骗子冒充你把号码转走，然后用你的号码接收银行验证码，清空账户。本文讲清这种诈骗的原理、FCC 的最新规则、三家运营商的防盗锁怎么开，以及中招后的补救流程。
骗子是怎么偷走你的号码的
原理不复杂：骗子收集到你的个人信息（姓名、生日、SSN 后四位，很多来自数据泄露），冒充你打电话给运营商，谎称换手机了，要求把号码转到一张新 SIM 卡上，或者直接把号码携转到另一家运营商。运营商的客服被骗过，号码就到了骗子手里。从这一刻起，所有发到你号码的短信验证码，银行、邮箱、支付应用的，全都进了骗子的手机。
这就是为什么你的手机号是所有账户里最关键的一环。绝大多数重要账户的密码重置都依赖短信验证码，号码一丢，等于所有账户的门都开了。骗子通常先改邮箱密码，再进银行转账，整个过程可能就在一两个小时内完成。等你早上发现手机没信号，钱可能已经没了。
Port-out 和 SIM swap 略有区别：SIM swap 是把号码换到骗子手里的 SIM 卡（同一运营商内），port-out 是把号码携转到另一家运营商。FCC 把两种都纳入了监管，但防范的方法是相通的：给运营商账户加锁。
FCC 的规则：运营商必须做什么
联邦通信委员会针对 SIM 卡劫持出台了专门规则，要求运营商在办理 SIM 卡更换和号码携转之前，必须对客户进行更严格的身份验证，并且在号码被转移后通知客户。规则还要求运营商向用户提供账户锁定功能，用户可以主动锁定号码，阻止未经授权的转移。
但规则管的是运营商的流程，不是你的账户安全。运营商按流程验证了，但骗子拿到了你的验证信息，流程就形同虚设。所以最终的责任还是回到用户自己：开锁、设 PIN、把重要账户的验证方式从短信换成更安全的。
三家运营商的防盗锁：立刻去开
三家大运营商都有免费的号码锁定功能，默认都是关闭的，需要用户手动打开。AT&T 叫 Wireless Account Lock，在账户设置里打开，锁定后任何号码转移都要先解锁。Verizon 叫 Number Lock，在应用或官网的安全设置里，同样是免费开关。T-Mobile 也有类似的账户保护功能，叫 Account Takeover Protection，打客服电话或去门店开通。
除了号码锁，还要设账户 PIN。给运营商账户设一个独立的 PIN 码，打电话办业务时客服会要求报 PIN。这个 PIN 不要和银行卡密码、手机解锁密码重复，单独设一个，记在密码管理器里。很多劫持案的起点，就是骗子猜对了过于简单的账户验证信息。
虚拟运营商（Mint、Visible、Google Fi）的用户同样要检查。FCC 的规则覆盖所有运营商，包括虚拟运营商，但各家的功能名称和开通方式不同。登录账户找安全设置，或者直接打客服电话问：你们有没有 number lock 或 port-out protection，怎么开。
把验证码从短信上搬走
号码锁是第一道防线，第二道是减少对短信验证码的依赖。能用验证器应用（authenticator app）的地方，就不要用短信。银行、邮箱、社交账号，大多支持验证器或硬件安全密钥。验证器生成的验证码和手机号无关，号码被偷了也不影响。
优先级排序：先换邮箱的验证方式，邮箱是所有账户的重置中心，邮箱丢了等于全丢；再换银行和支付应用；然后是社交账号。每个账户花五分钟，一晚上能换完最重要的十个。换完后测试一次，确保验证器工作正常，再关掉短信验证。
实在不支持验证器的账户，至少开双重验证，不要只用密码。密码加短信，总比只有密码强。密码本身要用密码管理器生成，每个网站独立密码，撞库是劫持之外的另一大风险。
中招了：补救流程
发现手机突然无服务，第一时间借别人的手机打运营商客服，说明号码可能被盗用，要求立即冻结转移、把号码转回来。运营商有专门的欺诈部门，处理这种案子是日常，配合提供身份验证信息。
第二步，检查银行和重要账户。有网上银行的，立即登录看有没有异常转账，有就冻结账户、打银行欺诈部门电话。改掉所有重要账户的密码，从邮箱开始。已经发生的盗刷，走银行的争议流程，信用卡的盗刷保护同样适用。
第三步，报警并留记录。去联邦贸易委员会的 IdentityTheft.gov 填身份盗用报告，去 FCC 官网投诉运营商（如果认为运营商流程有问题），去当地警察局备案。这些记录是后续维权和保险理赔的凭证。整个过程保留所有沟通记录：客服工单号、通话时间、对方工号。
日常习惯：降低被盯上的概率
骗子选择目标不是随机的，信息泄露多的人风险高。少在社交媒体上晒个人信息：生日、住址、宠物的名字（很多人用宠物名当密码提示问题），这些都是身份验证的素材。数据泄露查询网站可以查自己的邮箱有没有被泄露过，泄露过的，相关账户的密码全换掉。
警惕钓鱼短信和电话。运营商不会用短信要你的 PIN 码，银行不会打电话要你的验证码。凡是主动联系你要验证信息的，一律挂掉，用官方渠道回拨。Port-out 诈骗的起点，很多就是一通钓鱼电话套走了账户信息。
定期检查运营商账户的登录记录和变更通知。开了账户变动的邮件和短信通知，有异常第一时间知道。号码锁的状态每半年检查一次，确保没有被意外关闭。
各运营商的具体操作路径
AT&T 的 Wireless Account Lock：在 myAT&T 应用或官网登录，进入账户设置的安全选项，找到 Wireless Account Lock，打开开关。锁定后，任何 SIM 卡更换、号码转移都需要先解锁，解锁要验证账户 PIN。建议同时设置一个强 PIN，不要用生日。
Verizon 的 Number Lock：打开 My Verizon 应用，进入账户、安全设置，找到 Number Lock，给每条线单独开启。Verizon 还建议开启 Account PIN，客服电话验证时用。两道锁都打开，防护最完整。
T-Mobile 的防护：拨打客服或去门店，要求开启 Account Takeover Protection，同时设置 Port Validation PIN。T-Mobile 的诈骗案发率相对高，更要主动开通。Metro、Mint 这些用 T-Mobile 网络的虚拟运营商，同样可以要求开通类似保护。
密码管理器：先解决密码问题
号码劫持的帮凶是弱密码和撞库。很多人所有网站用同一个密码，一个网站泄露，全部沦陷。密码管理器解决这个问题：只记一个主密码，其他密码全部随机生成、自动填充。主流选择有 1Password、Bitwarden、iCloud 钥匙串，选一个用起来。
主密码要足够强，四个随机单词的组合就很好记又难猜。开启密码管理器的双重验证，主密码加验证器。把密码管理器装在手机和电脑上，同步好。换密码从最重要的开始：邮箱、银行、社交账号，一周换完。
密码提示问题是后门。很多网站的找回密码用你母亲的 maiden name、第一只宠物的名字，这些信息社交媒体上都有。设置时不要填真实答案，用密码管理器生成随机字符串当答案，存在备注里。
家庭成员的号码也要保护
骗子不一定盯你，家里老人的号码更容易得手。老人的账户 PIN 可能很简单，对诈骗电话的警惕性低。帮父母把号码锁打开、设好 PIN，把他们的银行账户也换成验证器验证。定期检查父母的账单，发现异常及时处理。
孩子的号码同样要保护。孩子的 SSN 和手机号绑定后，骗子可以用孩子的身份开账户。给孩子办电话卡时，用家长的账户统一管理，开通号码锁。教育孩子不要在网上随便填手机号，注册网站用家长的邮箱。
全家人的防护做成清单：每个人的运营商、号码锁状态、PIN 设置情况、重要账户的验证方式。每年检查一次，和报税、体检放在同一个年度清单里。
信息已经泄露了怎么办
如果查到自己的信息在数据泄露事件里，不要慌，按优先级处理。第一，泄露涉及 SSN 的，立即 freeze 三大信用局的信用，这是最强防护。第二，泄露涉及邮箱密码的，改密码，开验证器验证。第三，泄露涉及银行卡的，换卡，检查账单。
数据泄露查询网站（如 haveibeenpwned）输入邮箱就能查。查出来有泄露记录的网站，一个一个改密码。改不过来的，至少把重要的改了。泄露是常态，防护是日常，不要因为泄露过就自暴自弃。
监控服务可以考虑。很多数据泄露事件后，公司会提供免费的信用监控，用起来。银行和信用卡公司也有免费的异常提醒，开起来。早发现，早处理，损失可控。
换运营商时的安全交接
携号转网本身是 port-out 诈骗的攻击面，换运营商时要格外小心。流程是：先在新运营商处发起携转，拿到转移 PIN，再到老运营商确认。转移 PIN 一般几分钟内有效，过期重发。整个过程不要通过短信链接操作，登录官方应用或官网办理。
换完后检查三件事：号码锁在新运营商处重新开启（锁不跟着号码走），账户 PIN 重新设置，银行等重要账户的验证短信能正常收到。老运营商的账户确认注销，避免残留信息被利用。换运营商后的第一周，多留意账户异常。
相关阅读
- 美国 Urgent Care 全攻略：和 ER/家庭医生的区别、费用与何时去
- 在美国怎么找家庭医生 PCP：保险网内筛选、首诊预约与换医生全流程
- 在美国约专科医生：转诊流程、平均等 31 天、催预约实战技巧
英文官方来源
- Federal Communications Commission, Port-Out Fraud：https://www.fcc.gov/consumers/scam-alert/port-out-fraud-targets-your-private-accounts
- Federal Trade Commission, IdentityTheft.gov：https://www.identitytheft.gov
- Cybersecurity and Infrastructure Security Agency：https://www.cisa.gov
核验日期：2026-10-03
免责声明
本文内容基于 FCC 公开规则与运营商安全实践整理，仅供信息参考。各运营商的功能名称和操作路径可能调整，请以官网最新指引为准，不构成法律建议。
更多美国生活实务，欢迎关注微信 UUUMGT，获取在美华人生活知识库的持续更新。
评论前必须登录！
注册