怎么攻击别人的手机

去年秋天，一个做外贸的别人朋友半夜给我打电话，声音发紧：“我手机是攻击不是被人动了？相册里多了一堆我没拍过的截图，通讯录还少了几个客户。别人”我让他把手机拿过来，攻击连上笔记本，别人跑了半小时诊断。攻击结果很简单——他点了一条伪装成“DHL快递单”的别人短信链接，装了个带无障碍权限的攻击APK。攻击者用那权限读屏、别人截屏、攻击模拟点击，别人把他微信里的攻击客户名片一个个导走。整个过程没触发任何系统弹窗，别人因为他自己亲手点了“允许”。攻击

这件事让我觉得，大多数人根本不知道手机攻击长什么样。他们以为要像电影里那样，插根线、敲几行代码、屏幕就花了。现实里，攻击一台手机的成本可能低到一顿外卖钱。

先说最古老的——钓鱼链接。你收到一条短信：“您的ETC已过期，请点击 t.cn/xxxx 续费。”点进去是个和官方一模一样的页面，输入车牌、银行卡、验证码。三秒后，你卡里的钱在境外被刷走。这种手法烂大街，但每天依然有人中招。为什么？因为页面做得太真了，真到你根本不会去查域名。我见过一个高仿“交管12123”的站，连备案号都抄对了，唯一破绽是网址多了一个连字符。

稍微“技术”一点的，是恶意APK。安卓用户最容易踩这个坑。攻击者把木马打包成“相册”“清理大师”“色情直播”之类的名字，扔到论坛、网盘、甚至伪装成Google Play的镜像站。你安装时，它会请求“读取短信”“访问通讯录”“显示在其他应用上层”——你随手点了允许。之后，它每五分钟把新短信转发到指定邮箱，静默安装其他恶意模块。去年有个叫“Joker”的家族，专门订阅高价SP服务，一个月扣你两百块，你查话费才发现。

iPhone用户别笑。iOS确实更封闭，但不是铁板一块。零点击漏洞存在，比如2021年的FORCEDENTRY，一条iMessage就能让攻击者拿到内核权限。但那种级别的武器贵得离谱，通常只用于针对记者、政客。普通人更该担心的是iCloud钓鱼——伪造一个Apple ID登录页，骗你输入账号密码。一旦得手，攻击者能远程锁定你的手机、抹掉数据、甚至用“查找”功能定位你。我见过最狠的案例：有人被锁机后，收到一封邮件——“付0.05个比特币，否则你的裸照会发给通讯录所有人。”其实他根本没裸照，但攻击者赌他不敢赌。

还有一类攻击不碰你的手机，碰你的运营商。SIM卡交换攻击（SIM Swap）——攻击者买通运营商内部人员，或者用社工手段骗过客服，把你的号码转移到一张新SIM卡上。之后，所有短信验证码都进他口袋。你的微信、支付宝、银行App，全部沦陷。2019年，美国一名男子因此损失了价值2400万美元的加密货币。他后来起诉运营商，但钱早被洗没了。

那普通人怎么防？别装来路不明的APK，别点短信里的短链接，别在公共WiFi下登录网银。iPhone用户把“双重认证”打开，安卓用户去设置里关掉“未知来源应用安装”。还有，别用同一个密码。我见过太多人，邮箱密码和银行密码一样，撞库一撞一个准。

最后说句难听的：攻击手机这事，技术只占三成，七成是心理。攻击者利用的是你的好奇、恐惧、贪婪。你越慌，越容易点那个链接。所以，下次收到“你出轨证据在我手上”的邮件，先深呼吸，删掉。真的，删掉比什么都管用。

——写于一个被钓鱼短信轰炸的下午