凌晨两点十七分，何黑我盯着屏幕上的入别人进度条，99.8%。手机旁边那台iPhone X的何黑锁屏界面突然亮起，弹出一条通知：“您的入别人Apple ID已在一台新设备上登录”。三秒后，手机进度条走完，何黑我看到了那个女孩的入别人全部相册。她不知道，手机她的何黑手机在十分钟前就已经不再属于她了。

这不是入别人电影情节。我用的手机是最蠢的办法——钓鱼WiFi。在星巴克架一台笔记本，何黑开个叫“Starbucks_Free”的入别人热点，等她自己连上来。手机然后我用一个开源工具抓包，等她打开银行App的时候，https加密会保护她，但DNS查询不会。我改了她的DNS，把她引到一个伪装的iCloud登录页。她输了账号密码，我就拿到了。

整个过程不需要任何漏洞，不需要越狱，不需要什么高深的0day。社会工程学才是真正的万能钥匙。人的信任，比任何防火墙都脆弱。

但你要问真正的“黑入”，其实压根不用这么麻烦。我认识一个做手机维修的朋友，他告诉我，百分之八十的客户密码都是“123456”或者生日。更离谱的是，很多人把支付密码和锁屏密码设成同一个。他修完手机，顺手就能把机主的花呗刷爆——但他没这么干，因为“风险太大，收益太低”。黑客不是侠客，是生意人。

还有一种更隐蔽的方式——恶意充电线。长得跟原装线一模一样，里面藏了个芯片。你插上充电，它就能模拟键盘输入，在你的手机上装后门。这玩意儿淘宝上卖几十块钱，但普通用户根本分辨不出来。去年有个安全团队测试过，在写字楼前台放了一堆这种线，三天内钓到了十七个高管。

我说这些，不是教你干坏事。是想让你明白，你手机里那些自拍、聊天记录、银行短信，在专业人眼里就是一堆待宰的肉。你装的那些安全软件，防的是病毒，防不了人心。

最讽刺的是什么？我黑进那个女孩的手机后，发现她相册里全是她养的猫。几百张，从奶猫到成年，每张都笑得特别开心。我删掉了那个钓鱼页面，改了DNS设置，把她账号密码从记录里抹掉。然后我关掉电脑，去前台买了杯拿铁，正常付的钱。

技术本身没有善恶，但用技术的人有。你问我怎么防？别连陌生WiFi，别用公共充电桩，密码设长一点，开两步验证。但说实话，这些只能防住那些懒黑客。真正想黑你的人，你防不住——他们可能就坐在你对面，笑着问你“能借下充电器吗”。

那天之后我没再干过这事。不是良心发现，是觉得没意思。破门而入看到满屋子猫，你下得去手？