大部分人以为手机被黑是黑客电影里那种，屏幕上跳出一堆绿色代码，入侵然后你的别人摄像头自动打开。现实比这无聊得多，手机也脏得多。黑客

我见过最粗暴的入侵一种方式，叫“钓鱼短信”。别人你收到一条看起来像快递通知的手机消息：“您的包裹因地址异常被退回，请点击链接更新信息。黑客”链接点进去，入侵是别人一个和顺丰官网长得一模一样的页面，让你填手机号、手机验证码，黑客甚至银行卡号。入侵你填完的别人那一刻，对方后台就拿到了你的短信权限——有些恶意页面会诱导你安装一个“安全插件”，实际上是个APK文件，装完它就能读取你的所有短信，包括银行验证码。

这招不高级，但管用。因为人在等快递的时候，警惕性最低。

再往深一点，是“中间人攻击”。你连上一个商场里的免费WiFi，名字叫“Starbucks_Free”，看起来正常。但那是攻击者用一台笔记本和一张无线网卡搭的假热点。你连上之后，所有没加密的流量都从他那儿过。他不需要破解你的密码，只需要在数据包里找明文传输的账号密码。很多老式App和网站至今还在用HTTP，不是HTTPS，登录信息就是裸奔。我试过，用一台三百块钱的旧手机加一个抓包软件，在咖啡厅坐一下午，能捞到七八个邮箱密码。没人察觉。

还有一种更隐蔽的，叫“SIM卡劫持”。攻击者先通过社工手段拿到你的手机号、身份证号——这些信息在黑产里几毛钱一条。然后冒充你去营业厅补办一张SIM卡。你的手机突然没信号了，你以为欠费，其实对方已经用新卡接收了所有短信。接着他重置你的微信、支付宝、网银密码。整个过程你收不到任何通知，因为短信都进了他的手机。等发现的时候，钱已经转走了。这招在国内不算多见，因为营业厅会要求人脸识别，但在一些管理松散的代理点，一张身份证复印件就能办。

零点击漏洞是另一个层级的东西。比如之前曝光的“飞马”间谍软件，它利用iMessage的一个漏洞，你不需要点任何链接，只要收到那条消息，手机就被植入了。攻击者能读你的聊天记录、开麦克风、定位。这种工具一般只卖给政府或大型机构，普通人碰不到。但代码一旦泄露，就会被复制、改造、降价，最终流到黑产手里。时间问题。

还有一类入侵，根本不靠技术，靠人。你手机丢了，或者被身边的人短暂拿到。有人会在你手机上装一个“家长控制”类App，图标隐藏，后台常驻，能看你的屏幕、录你的按键。我认识一个做离婚取证的，他帮客户在对方手机上装监控软件，前后不到三分钟。手机没root也能做，用无障碍权限就行。你甚至不会觉得手机变卡，因为现在的手机性能过剩。

说这些不是让你恐慌。大部分攻击的前提是你点了什么、连了什么、装了什么。真正能绕过你所有操作的，普通人基本遇不到。但如果你觉得“我没什么值得被黑的”，那就错了。黑产是批量化作业，你的手机号、通讯录、相册，本身就是商品。一条活跃的手机号能卖几块钱，一个能登录的微信能卖几十。他们不挑食。

我自己的习惯：短信里的链接一律不点，免费WiFi只用来刷视频，不登录任何账号。安卓手机关掉“未知来源应用安装”，iPhone不越狱。听起来很基础，但能挡掉九成以上的麻烦。剩下的那一成，看运气。