whose-number-is-this

这是谁的号码

电话号码是一种强关联标识：获取成本高、难以更换，而且几乎到处都用作账户恢复的凭据。但调查人员最容易在这种标识上出错，因为人人都在引用的元数据——运营商——往往已经过时，而且如今大量号码归软件所有，并非某人手机里的 SIM 卡。请勿致电或发短信给目标；那属于联系，而非研究。

步骤 1 — 授权范围

阅读 ../../ETHICS.md。写下目标、目的、范围内的标识、范围外的操作，以及适用司法管辖区——相比大多数技能，这一点在此处更重要，因为许多地方专门对反向电话号码查询作出监管。现在就决定是否获准检查消息应用的联系人发现功能；此类检查会与应用交互。

完成标准：已写明范围，并记录联系人发现检查的决定。

步骤 2 — 先规范化为 E.164 格式

号码解析不当会导致后续所有步骤出错。E.164 格式为 +、国家/地区呼叫代码、国内号码——不含空格、标点或干线前缀。

陷阱在于国内干线前缀。英国号码写作 07700 900123 时，应为 +447700900123：开头的 0 应去掉，而不是保留。意大利的固定电话则保留开头的零。猜错会让后续每次查询都指向另一个用户。

请使用 libphonenumber（Google 的解析库，支持大多数语言的绑定），而不要使用正则表达式。它了解各国家/地区的干线前缀、有效号码长度范围，以及可分配号码的前缀范围，因此能区分格式正确的号码和该国家/地区实际可用的号码。

从规范化后的号码中读取国家/地区呼叫代码（表示国家/地区，而非用户所在地）、国内目的地代码——区号或移动前缀，可用于确定固定电话的地理区域或移动号码最初分配给的运营商——以及线路类型：固定电话、移动电话、VoIP、免费电话、高资费电话、分摊费用电话或未知。线路类型是最影响决策的字段。

phoneinfoga 集成了规范化、格式生成和查询扫描器：

phoneinfoga scan -n "+15551234567"

完成标准：已记录 E.164 格式、国家/地区、国内目的地代码和线路类型。

步骤 3 — 运营商、VoIP，以及两者为何都会误导

对移动号码进行 HLR 查询，会访问用户归属位置寄存器，并返回该号码当前归属的网络、号码是否可接通，以及通常还会告知号码是否处于漫游状态。这是实时数据，也是唯一有较高参考价值的运营商查询结果。其他所有信息——前缀与运营商对应表、大多数免费查询网站——都只映射号码最初分配的号码段。**号码可携带性会让这种映射失效。**用户保留号码并更换网络，但分配表仍会显示原运营商。因此，通过前缀查询得出的“运营商：X”表示“该号码段最初分配给 X”，而不是“此人是 X 的客户”。每次都要说明答案来自哪种查询。

接着判断是否为 VoIP。在欺诈、信任与安全以及傀儡账号调查中，这通常是整个技能里最有价值的发现：如果号码解析结果指向虚拟号码提供商，而非移动网络运营商，那么该号码获取成本低、易于弃用，在许多司法管辖区无需身份验证即可获取，而且同一方可能持有数百个此类号码。判断线索包括 VoIP 线路类型、提供号码而非服务消费者的运营商，以及与其他地点证据无关的区号。解读方式及各应用的信息披露对照表： reference/line-types.md。VoIP 结果并不能证明存在恶意意图——大多数企业都使用 VoIP——但这意味着该号码不是可靠的身份凭据。

完成标准：已记录运营商及其查询方法和号码可携带性方面的注意事项，并将号码归类为可能使用 SIM 卡、可能为 VoIP 或未知。

步骤 4 — 即时通讯应用披露的信息

在即时通讯平台上发现联系人，可以判断某个号码是否已注册；根据用户的隐私设置，还可能看到显示名称、头像、简介，有时还能看到最后上线时间。这些信息确实有参考价值——注册情况是关于某个人的事实，而头像可以直接用于 find-the-original-image。

这项操作也具有交互性，且涉及隐私。你是在通常需要登录账号的情况下，查询平台上某个特定个人的信息；同步通讯录会将整个通讯录上传到平台。大多数平台都限制自动化或批量查询。只有在获得明确授权的情况下，才能逐个查询号码；查询时须使用依照 investigate-without-getting-made 要求管理的账号和设备，并将其记录为交互式步骤。上文的参考资料列出了各个应用会公开哪些信息。

完成条件：已记录应用注册情况，或注明未尝试及原因。

步骤 5 — 搜索号码字符串的所有格式

这是收益最高的被动步骤，也是最常被跳过的一步。号码有十几种写法，搜索引擎不会自动统一格式。请对每种格式都加引号搜索，并分别尝试带和不带国家代码的写法：

"+1 555 123 4567"  "+15551234567"  "(555) 123-4567"  "555-123-4567"
"555.123.4567"     "555 123 4567"  "5551234567"      "001 555 123 4567"

完整的格式变体指南，包括国家或地区惯例及混淆写法： reference/format-permutations.md。

使用 google-like-a-spy 在多个搜索引擎上搜索这些格式——不同搜索引擎对同一号码的覆盖差异很大——还要使用 find-leaks-in-the-wild、read-deleted-pages 和 what-leaked-about-you。号码常见于分类广告、商业名录、简历和旧论坛签名中。

众包来电识别应用和反向查询数据库也会提供姓名。应将这些信息视为线索，而非归属结论：它们的姓名数据来自其他用户的通讯录和提交的标签，因此难免包含错误标注、过时联系人和蓄意投毒。垃圾来电评分可以被操纵，而且许多此类服务要求你提供自己的联系人才能使用。

完成条件：已在两个搜索引擎上搜索每种格式，并记录每个候选姓名及其来源，注明尚未核实。

常见问题

• 号码可携带性会悄然导致运营商数据过时：结果看似可信，实际却是错误的，而不是报错。这也使区号不再能作为位置的替代指标；VoIP 号码分配，以及有人搬家三次仍保留同一个号码，也会造成同样的问题。
• 号码回收。 已停用的号码会重新分配。旧数据泄露记录中的号码，如今可能属于毫无关联的人——而这个人可能仍会收到前任号码所有者的账户恢复验证码。
• 来电号码伪造很容易，因此通话记录中的号码并不能证明其所有者拨打了电话。SIM 卡交换攻击会转移号码控制权，但所有权记录保持不变：在欺诈调查中，登记的所有者和收到短信的人可能不是同一人，这正是攻击的原理。
• 共用号码和商业号码。 一个号码可能对应多个人。
• 聚合数据过时。 反向查询数据会在不同供应商之间复制，而且很少重新核实；两个网站给出相同结果，通常意味着它们引用了同一个来源。

可信度分级

• 已确认 — 由调查对象在其控制的来源上发布；或见于与调查对象相关联的权威记录（备案、许可证、注册信息）；或有两个真正独立的来源给出一致结果。
• 较可能 — 即时通讯应用显示该号码已注册，且显示名称与调查对象相符，另有一条公开信息佐证。
• 未确认 — 来电识别或反向查询服务提供的姓名、聚合记录，或单条数据泄露记录，无论供应商界面看起来多么可信。
• 已排除 — 线路类型、分配情况或时间线与调查对象不符；或这是共用的商业线路，无法归属到个人。

请在分级旁注明线路类型——将 VoIP 号码归属于某个所有者，始终是可信度较低的主张。

操作示例

给定号码 07700 900123，据称属于一家英国供应商的联系人。标准化为 +447700900123；libphonenumber 将该前缀归类为移动号码段。前缀 查询显示一个运营商，基于 HLR 的查询则显示另一个——该号码已携号转网。记录当前网络，并将前缀查询结果标记为历史信息。

走不通的方向：反向查询网站返回的姓名与供应商联系人不符，另外两项服务返回了完全相同的字符串。同一来源重复出现三次，并不构成佐证。弃用。

使用 google-like-a-spy 搜索所有书写格式，在缓存的行业名录列表中找到了该号码，列表中的公司名称对应的注册地址与发票上的地址不同。接着将该公司交给 x-ray-a-company 查询，这一差异便成为调查发现。号码归属仍属推测；报告的重点是公司关联。

进一步调查方向

新线索	技能
机主姓名	find-anyone
列表中的企业名称	x-ray-a-company、who-really-owns-it
即时通信应用头像	find-the-original-image
显示名称或用户名	hunt-a-handle
与号码关联的电子邮件	what-an-email-reveals
泄露记录中的号码	what-leaked-about-you
粘贴内容或频道中的号码	find-leaks-in-the-wild、dig-through-data-brokers

法律与服务条款须知

电话号码查询受到的监管比大多数 OSINT 活动更严格。多个司法管辖区限制了哪些人可以进行反向查询以及查询目的；在一些国家，无论数据来源是否公开，消费者报告相关法规都适用于将此类数据用于就业、租赁或信贷决策。根据 GDPR 和英国法律，电话号码属于个人数据；上传联系人列表以及自动检查应用注册情况，则违反了大多数平台的服务条款。利用电话号码查找私人住所，或在未经同意的情况下联系他人，均不允许；合法用途包括欺诈调查、尽职调查、经授权的人员查找以及自查。

第 6 步 — 撰写报告

运行 write-the-intel-brief。说明 E.164 格式、线路类型、运营商及其查询方法和携号转网注意事项、应用存在情况并标记是否需要交互操作，以及机主归属判断、置信度等级和来源。

完成标准：所有运营商结论都注明查询方法，且每项交互式检查都明确标记为交互式检查。