很多人以为手机被黑是黑客电影里那种——屏幕上跳出一行字，然后摄像头自己亮了。入侵现实里，别人绝大多数入侵根本不会让你察觉。手机你该刷视频刷视频，黑客该发消息发消息，入侵手机那头的别人人只是安静地复制着你的一切。

最常见的手机入口是短信里的链接。不是黑客那种"恭喜中奖"的粗制滥造，而是入侵伪装成快递通知、银行验证、别人甚至你朋友发来的手机"你看看这个照片里是不是你"。点进去之后，黑客页面可能只闪了一下就跳转到一个正常网站，入侵但后台已经把你的别人浏览器指纹、IP、甚至部分权限信息打包传走了。我见过一个案例，有人收到一条"ETC认证失效"的短信，点进去填了车牌和银行卡，三分钟后卡里的钱就没了。整个过程他都没觉得哪里不对。

另一种是恶意App。不在应用商店里，而是通过网页、 Telegram 群、或者"破解版"软件传播。装的时候它会要求一堆权限——通讯录、短信、位置、存储。你点了"允许"，它就开始干活。有些会潜伏几天再行动，有些干脆实时上传。一个做安全的朋友拆过一个伪装成"手电筒"的App，安装包只有 2MB，但里面藏了远程控制模块。受害者是个大学生，手机被控了两个月，直到去营业厅换套餐才发现流量异常。

公共Wi-Fi是老三样了，但依然有效。攻击者架一个和咖啡馆同名的热点，你连上之后，所有未加密的流量他都能看。更狠的是"中间人攻击"——你访问的银行页面是真的，但数据先经过他的设备。他可以把你的登录凭证留下来，再把页面原样转发给银行。你这边一切正常，他那边已经拿到了账号密码。

还有一类不太技术、但成功率极高的：社会工程。打电话冒充客服，说你的账户异常，需要"验证身份"。你报了验证码，他就登进去了。或者冒充你朋友，用盗来的微信号发消息："我手机丢了，帮我收个验证码。"你收了，转发给他，你的号也就没了。这种不靠漏洞，靠的是你信任那个界面、那个声音、那个头像。

技术上讲，安卓比iPhone更容易被盯上。不是iOS没有漏洞，而是安卓的开放生态让恶意软件更容易落地。一个 sideload 的 APK 就能干很多事，而iPhone不越狱的话，安装渠道被卡得很死。但iPhone也不是铁板一块——钓鱼、SIM卡交换、iCloud凭证泄露，这些路子照样能进去。FBI和苹果那场解锁官司，说到底就是"技术能不能突破"和"要不要留后门"的拉扯。

真正让人后背发凉的是，很多入侵不需要多高的技术。一个泄露的密码、一个重复使用的邮箱、一个没开两步验证的账号，就够对方顺藤摸瓜。你的手机号绑定了太多东西——微信、支付宝、邮箱、网盘。拿到手机号，再加上一条验证码，基本就拿到了你的数字身份。

普通人能做的其实不多，但有几条很实在：别点短信里的链接，哪怕它看起来像真的；别装来路不明的App；公共Wi-Fi下别登网银；两步验证能开就开，别用短信验证，用验证器App。还有，定期看看手机里哪些App有"读取短信"和"无障碍"权限——这两个是重灾区。

入侵这件事，成本比你想的低，门槛也比你想的低。一个脚本小子拿着现成的工具包，就能试上一整天。你不需要成为目标，你只需要恰好出现在扫描列表里。