2015年夏天，漏洞我蹲在网吧里，漏洞屏幕上QQ空间弹出一张图片，漏洞附带一个链接：“看看你前女友的漏洞私密照，仅此一次。漏洞”我手贱点了进去，漏洞密码框跳出来，漏洞要求输入QQ账号和密码。漏洞输入后页面卡了三秒，漏洞然后跳回QQ登录界面，漏洞提示“登录超时，漏洞请重试”。漏洞我重新登录QQ，漏洞发现空间里多了一条我自己发的漏洞动态，内容是漏洞“转发此条消息，免费领取100Q币”。那一刻我知道，我输进去的密码喂给了钓鱼站，而我的号已经成了垃圾广告的发射器。

这不是什么高深黑客技术，就是一个简单的仿冒登录页。但真正让我震惊的是后续——我改了密码，清理了动态，以为完事了。第二天朋友发来截图，我的号在另一个群里发着“兼职刷单，日入五百”的广告，时间戳显示凌晨三点，我睡得正死。QQ的安全中心显示，登录设备是“广东深圳”，而我人在武汉。密码改了，但对方依然能进来。

问题出在“记住设备”这个选项上。钓鱼站不仅偷了密码，还顺手种了个cookie——只要我在那台被控制的电脑上登录过，对方就能长期保持会话有效，密码形同虚设。更扯的是，QQ的异常检测根本没拦，因为cookie模拟的是正常登录行为，IP也来自常用地。我打电话给客服，客服让我申诉，申诉要填历史密码、好友验证、密保问题——我填完，系统告诉我“资料不足，无法证明账号归属”。

那号跟了我八年，里面存着初中同学录照片、死党聊天记录、暗恋女生的分组。申诉失败那一刻，我忽然明白一个事：QQ的安全体系，本质上是在“保护活跃用户”和“降低使用门槛”之间走钢丝。为了让你随时随地在陌生设备上快速登录，它默认信任cookie和常用设备，结果就是一旦你的设备被攻破，攻击者就拿到了长期通行证。密码只是第一道门，而门后没有第二层保险。

后来我花了三天，用密保手机号加好友辅助才拿回账号。过程里我发现一个细节：申诉页面要求填“曾经用过的密码”，我填了五个历史密码，系统判定“部分正确”，但就是不给通过。最后是一个老同学帮我做了“好友担保”，才解锁。这暴露了另一个漏洞——社交关系链可以被伪造。只要攻击者控制了你几个不常联系的好友号，就能伪造担保。而QQ的好友验证问题，答案往往藏在你的公开动态里：“你最喜欢什么颜色？”翻翻你十年前的空间说说，答案就在那儿。

现在回想，那次钓鱼只是小儿科。真正的漏洞从来不是代码，而是人的信任惯性——你以为改了密码就安全，你以为好友验证就可靠，你以为客服能救你。事实上，QQ的账号体系里，密码、设备、社交链，每一个环节都有后门，组合起来就是一套完整的“合法入侵”流程。2018年之后，QQ加强了设备锁和二次验证，但老用户里还有多少人没开？我认识一个做电商的朋友，他的号被盗后，骗子用他的号给所有客户发了“换收款账户”的消息，骗走几万块货款。QQ那边给的回复是“建议报警”。

这事的荒诞之处在于，我们每天都在用QQ传文件、发消息、存照片，却几乎没人意识到，这个承载了十几年记忆的软件，它的安全防线就像老房子里的锁——能防君子，防不住有心人。你问我后来怎么处理？我把QQ的登录设备全清了，开了人脸验证，关掉了所有第三方授权。但我知道，只要钓鱼站还在更新，只要有人还在点陌生链接，这个漏洞就永远存在。它不在服务器里，在每个人的点击习惯里。