老周在菜市场门口被人拦住扫码的漏洞时候，压根没想到自己会栽在一个“领鸡蛋”的小程序小程序上。对方穿着红色马甲，漏洞胸口挂个塑料牌，小程序说只要扫码填个手机号，漏洞就能领十个土鸡蛋。小程序老周寻思这便宜不占白不占，漏洞手指头戳了几下屏幕，小程序鸡蛋是漏洞拿到了，可当天晚上手机就开始不对劲——先是小程序相册里多了几十张没见过的截图，接着银行卡被转走三笔钱，漏洞每笔都不大，小程序加起来两千出头。漏洞

这种“漏洞小程序”正在小城市和乡镇蔓延。小程序它们长得跟正经应用差不多，漏洞有的甚至能在应用商店搜到，但代码里埋着后门。开发者把接口权限开得极大，用户授权一次，通讯录、短信、相册、定位就全交出去了。更狠的是，有些小程序会伪装成“系统更新”弹窗，点“取消”反而触发下载，点“确定”直接安装。你以为是自己在操作手机，其实是手机在操作你。

我拆过一个类似的安装包。反编译之后，里面藏着一个叫“sync_service”的模块，每五分钟往一个境外IP发一次数据包。数据包不大，就几百KB，但里面夹着用户最近的通话记录和短信验证码。验证码能干嘛？能改你支付密码，能注册网贷账户，能把你银行卡里的钱拆成几十笔转走。最要命的是，这些小程序往往只活两三天，骗完一波就下架，换个名字重新上。你报警，警察问小程序叫什么，你翻遍手机都找不到——它早就自我卸载了。

上个月我去一个县城走访，当地派出所民警给我看了份统计：半年内接到类似报案四十多起，受害者大多是五十岁以上的中老年人。他们有个共同点——手机里都装过“清理大师”“走路赚钱”“WiFi钥匙”这类工具。这些工具本身没毒，但会诱导你下载“配套插件”。插件才是真凶。有个阿姨跟我说，她下载完插件后，手机自动给通讯录里所有人发了条借钱短信。她挨个打电话解释，还是有两个老姐妹把钱转了过来，每人两千。

平台有没有责任？当然有。小程序上线审核主要靠机器扫描，人工抽检比例极低。开发者随便填个类目，传几张截图就能过。等用户举报，平台下架，开发者早拿着钱跑了。更讽刺的是，有些漏洞小程序用的还是平台自己的广告SDK，赚的广告费平台还要抽成。这就好比房东把房子租给骗子，骗子跑了，房东说“我也受害了”，可租金他收了。

普通人怎么防？别信“扫码领东西”，别装来路不明的“清理工具”，别给任何小程序开“读取短信”权限。手机设置里有个“应用权限管理”，隔段时间就翻翻，把不认识的、不用的小程序权限全关掉。还有，收到“系统更新”弹窗先别点，去设置里手动检查更新，真更新假更新一目了然。老周后来换了手机，把银行卡也换了，但他现在看见穿红马甲的人就绕道走。他说那十个鸡蛋，是他这辈子买过最贵的东西。

漏洞小程序不是技术漏洞，是人心漏洞。开发者赌的就是你贪那点小便宜，赌的就是你懒得看权限说明，赌的就是你手机里存着半辈子积蓄。他们赢一次，你输的可能就是全部。别觉得这事离你远——你手机里那些“免费领”“一键清理”“走路赚钱”，说不定就有一个正在后台偷偷发数据包。删了吧，趁还来得及。