凌晨三点，黑客手机屏幕在床头柜上亮了一下。入侵软件我以为是黑客外卖推送，拿起来一看，入侵软件是黑客条银行扣款短信：-4999元。收款方是入侵软件个我没听过的科技公司。我瞬间清醒了。黑客

翻交易记录，入侵软件发现这笔钱是黑客从一个我半年前下载过的“极速清理大师”里扣的。那软件当时弹了个窗，入侵软件说“免费试用七天”，黑客我点了确认。入侵软件试用期结束那天，黑客它悄无声息地续了年费，入侵软件连个提醒都没有。黑客更离谱的是，我翻遍手机设置，找不到任何订阅管理入口——它把自己藏在了系统日历的某个角落，伪装成一个日程提醒。

这不是黑客入侵，这是合法抢劫。但手段比传统黑客更脏。

传统黑客撬门撬锁，至少你知道自己被盗了。这类软件不撬锁，它配了把你家的钥匙，趁你睡觉时进来搬东西，还留张纸条说“您已同意”。用户协议里那行灰色小字，就是他们的万能钥匙。我后来查了那家公司的背景，注册在开曼群岛，客服邮箱是gmail，官网只有一个页面，连公司地址都写的“远程办公”。

我找了个做安全研究的朋友聊这事。他笑了，说这算“温和”的。他拆过一款壁纸App，安装包只有2MB，却申请了通讯录、短信、定位、摄像头权限。用户点“同意”的瞬间，它就把通讯录打包上传到境外服务器。更绝的是，它会监听短信验证码——你收到的每一条银行验证码，它都同步转发一份到指定号码。你还在等验证码，黑客已经用完了。

“那怎么防？”我问。

“别装来路不明的软件。”他说完自己都笑了，“这话跟‘别呼吸’一样没用。现在谁手机里没几十个App？你根本不知道哪个是干净的。”

他给我看了个数据：去年全球移动恶意软件样本新增了1200万个，平均每天3万多个。其中70%伪装成工具类应用——清理、省电、WiFi加速、壁纸。这些软件有个共同特征：安装包极小，功能极简，但权限要求极多。一个手电筒App要读你通讯录，这逻辑本身就荒谬。可大多数人点“同意”时，眼睛根本没看那行字。

我自己后来做了个实验。在某个第三方应用市场下载了排名前十的“免费VPN”，用抓包工具看它们的流量。十个里有七个在后台偷偷上传设备信息，三个试图读取剪贴板内容——你复制过的密码、银行卡号，它们全记下来了。其中一个甚至每隔五分钟就向一个俄罗斯IP发送一次心跳包，里面包含你的实时定位。

这些软件不叫黑客入侵，它们叫“灰色产业”。但效果一样：你的隐私被扒光了，钱包被掏空了，手机变成了别人的肉鸡。区别只在于，黑客入侵你会报警，这些软件入侵你，你连投诉对象都找不到。

我最后把那个“极速清理大师”举报到了12321。两周后收到回复：已下架。但我知道，它换个名字、换个图标，明天又会出现在某个应用市场的推荐位上。这个链条上，开发者、分发平台、支付通道，每个环节都抽成，每个环节都说自己“只是提供技术”。

凌晨那笔4999元，银行说追不回来，因为“您本人授权了”。我把手机里所有工具类App全删了，只留了系统自带的。现在手机确实没那么“干净”了，但至少，我知道每分钱花在了哪。