一个QQ空间里的坏人“免费领皮肤”链接，点进去三秒后，通过你的洞获的身账号就不归你了。这不是用户吓唬人。去年冬天，份后一个初中生点了个“王者荣耀限定皮肤免费送”的坏人页面，填了QQ号和密码。通过第二天他爸发现银行卡少了八千块，洞获的身全是用户通过QQ钱包转出去的。警察查到最后，份后发现源头是坏人那个页面里藏了一段JavaScript，专门偷Cookie。通过

XSS这玩意儿，洞获的身说白了就是用户坏人往网页里塞了一段自己的代码。你打开页面，份后代码就跑起来，替你把QQ的登录凭证——那个叫Cookie的东西——发给黑客的服务器。QQ的Cookie里存着你的身份令牌，谁拿到它，谁就能在浏览器里直接变成你。不需要知道你的密码，不需要短信验证。黑客在自己电脑上装个插件，把偷来的Cookie往浏览器里一贴，刷新一下，你的QQ头像就出现在他的好友列表里了。

拿到身份之后，第一步是翻聊天记录。别以为删了就没事。QQ的漫游消息默认同步到服务器，黑客登录后直接搜关键词：银行卡、身份证、验证码、转账。有个做微商的姑娘，客户给她发过一张身份证照片，黑客翻到后拿去注册了网贷，三天后催收电话打到了她老家。她自己完全不知道发生了什么，直到催收人员报出了她小学班主任的名字。

第二步是看QQ钱包和关联的银行卡。很多人不知道，QQ钱包的支付密码可以靠短信重置。黑客登录你的QQ后，直接点“忘记支付密码”，短信验证码发到你绑定的手机号上——但你的手机号在QQ资料里可能早就被看光了。有些人的QQ号就是手机号，黑客连猜都不用猜。更狠的是，如果QQ绑定了邮箱，黑客会先改邮箱密码，再通过邮箱重置QQ密码。一套流程走完，你连申诉都找不到入口。

第三步最脏：拿你的号去骗你的好友。黑客不会群发“借钱”这种老掉牙的话术。他们会翻你最近三天的聊天记录，找到你说话的语气和常用表情包。然后挑一个跟你关系最近的人，模仿你的口气说：“我微信限额了，你先帮我转两千到这个卡上，明天还你。”好友一看是视频通话请求——黑客用你的号发起视频，但只露半张脸，说摄像头坏了。好友信了，钱转过去，黑客立刻拉黑。

整个过程快的话，从你点链接到好友被骗，不到二十分钟。QQ的安全团队后来做了个统计：超过六成的XSS攻击发生在第三方登录页面。那些“扫码领红包”“测测你的QQ年龄”的小网站，背后可能就挂着一行窃取Cookie的脚本。你扫码的那一秒，黑客的服务器已经收到了你的令牌。

有人觉得开了设备锁就没事。设备锁确实能挡住一部分直接登录，但黑客可以伪造你的User-Agent和IP地址，让QQ以为登录请求来自你常用的设备。更简单的办法是：用你的Cookie去发QQ邮件，邮件里带钓鱼链接。你的好友看到是你发的，点进去，Cookie又被偷一次。一传十，十传百，整个好友链都成了肉鸡。

说个真实的细节。有个黑客被抓后交代，他专门盯着QQ群里的“作业帮答案”分享链接。学生点进去看答案，页面底部有个隐藏的iframe，宽度和高度都是0，肉眼看不见。里面的代码只做一件事：读取document.cookie，然后用Image对象把数据拼到URL里发出去。整个过程没有弹窗，没有跳转，页面看起来完全正常。学生看完答案关掉页面，QQ已经易主了。

怎么防？别在非腾讯官方的页面输QQ密码。任何要你“重新登录”的链接，先看域名是不是qq.com。如果已经点了，立刻去QQ安全中心踢掉所有设备，改密码，开双重验证。别嫌麻烦。你省下的那两分钟，够黑客把你十年的聊天记录打包下载三遍。