凌晨三点十七分，劫持渗透手机屏幕突然亮了。劫持渗透一条推送：“您尾号7839的劫持渗透账户完成交易人民币4999元。”我盯着那行字，劫持渗透手指悬在屏幕上方，劫持渗透脑子还没转过来。劫持渗透那张卡已经半年没动过，劫持渗透绑定的劫持渗透是个早就不用的旧手机号。钱怎么出去的劫持渗透？

后来查流水才发现，问题出在一款天气App上。劫持渗透去年夏天为了看台风路径下载的劫持渗透，装完就扔在文件夹角落。劫持渗透它要了定位权限，劫持渗透我点了允许。劫持渗透它要通讯录，劫持渗透我犹豫了一下还是给了。再后来它要“读取已安装应用列表”，我根本没看，直接划过去。这些权限单独看都不致命，叠在一起就是一把钥匙。

黑产管这叫“权限拼图”。你给出去的每一小块，他们都能拼出完整的你。应用列表暴露了你的银行App版本号，通讯录里存着“妈妈”“老婆”的备注，定位数据画出你每天的行动轨迹。这些数据被打包卖给下游团队，有人专门负责撞库，有人负责写钓鱼页面，有人负责洗钱。分工细得像流水线。

我那个旧手机号就是突破口。运营商回收号码后重新放号，新机主拿它注册了某个小贷平台。平台的风控系统只认“手机号+验证码”，根本不核对身份。号码前主人——也就是我——的银行预留信息还在数据库里躺着，两边一交叉，账户就被盯上了。

更瘆人的是中间那步“劫持”。他们没直接盗刷，而是先劫持了短信。怎么做到的？伪基站已经过时了，现在流行“SIM卡交换攻击”。买通运营商内部人员，或者用社会工程学骗过客服，把你的号码转移到他们控制的SIM卡上。你的手机突然没信号，你以为只是信号不好，重启几次，其实短信和电话都进了别人口袋。

渗透环节更隐蔽。有个做安全的朋友给我演示过，一个看似正常的充电宝，插上手机后能自动安装配置文件。配置文件里藏着VPN证书，所有流量都从他们的服务器过一遍。你刷微博、点外卖、登录网银，数据全在别人眼皮底下。这种硬件成本不到两百块，电商平台换个关键词就能买到。

我后来把那张卡注销了，但事情没完。三个月后，一个陌生号码加我微信，备注写着“你去年在XX酒店住过对吧”。我没通过，但后背发凉。那家酒店的数据泄露是两年前的事，我的入住记录早该被遗忘了。可它没有。数据在黑市上反复转手，像旧货市场的二手衣服，谁都能翻两下。

现在每次装新App，我都会把权限设置翻到底。天气App要通讯录？不给。手电筒要定位？拒绝。有些功能确实会瘸腿，但总比半夜收到扣款短信强。手机设置里有个“隐私”选项，点进去能看到过去七天哪些App调用了麦克风、摄像头、位置。我上周查了一次，一个修图软件居然在后台读了三次通讯录。删掉。

这事最麻烦的地方在于，你没法完全躲开。银行要人脸识别，外卖要定位，社交软件要通讯录。每给一次权限，就是往别人的拼图里递一块碎片。能做的只有两件事：定期清理不用的App，以及——别把鸡蛋放在一个篮子里。我现在的做法是，绑小额支付的卡里永远只留几百块。大额存款的卡不绑任何线上支付，连短信提醒都关了，自己每周手动查一次流水。

麻烦吗？麻烦。但比起凌晨三点那种心跳漏一拍的感觉，我选麻烦。