同行网站上那个“在线咨询”按钮，同行你点下去，网站弹出来的访客不是客服对话框，而是手机一段JavaScript代码——它正悄悄读取你手机的IMEI、MAC地址，同行甚至通过运营商接口反查你的网站手机号。这事儿，访客我在一个做装修建材的手机朋友公司亲眼见过。

那天我去他办公室，同行他正盯着后台数据傻乐。网站屏幕上密密麻麻全是访客手机号，每个号码后面还跟着来源网址、手机访问时间、同行停留时长。网站他指着其中一行说：“你看，访客这个人在XX装饰的官网上逛了二十分钟，肯定是要装修的。”我问他怎么拿到的，他嘿嘿一笑，甩给我一个链接——那家同行网站的“在线咨询”按钮，其实是他们外包技术团队植入的抓取代码。

原理不复杂。国内大多数中小型网站用的都是现成的客服系统，比如商务通、53客服，这些系统本身就有“访客识别”功能，但需要企业自己开启。问题是，很多传统行业老板根本不知道有这功能，更不知道它的抓取逻辑有多野。技术团队会先在目标网站植入一段JS，模拟访客点击咨询按钮，触发对方客服系统的“强制获取手机号”接口——这个接口原本是为了方便用户免输入手机号直接沟通，但接口设计有漏洞，只要访客访问过页面，哪怕没点咨询，系统也会在后台悄悄调起运营商网关，通过基站定位和SIM卡信息反向匹配出手机号。

更气人的是，这种抓取根本不需要破解什么加密协议。运营商开放了“本机号码校验”服务，本意是给正规APP做一键登录用的。但有些外包公司把这个服务包装成“访客手机号采集器”，卖给装修、教育、金融这些获客成本高的行业。一套系统一年八千块，比百度竞价便宜多了。朋友算过一笔账：以前在百度投广告，一个咨询线索成本一百二，还得靠客服嘴皮子磨。现在直接抓同行流量，一个号码成本不到三块钱，转化率还高——因为能来同行网站的人，需求都是现成的。

但这事儿恶心就恶心在，被偷的网站完全没察觉。访客只是在页面上停留了十几秒，既没点按钮也没注册，后台却神不知鬼不觉地把人信息送了出去。我试探过朋友：“你就不怕同行也抓你的？”他嘴硬说自己的网站早就做了防护，但后来我私下查了查，他那套所谓的防护，不过是屏蔽了几个已知的抓取域名，换个域名照样能穿透。

说到底，这就是一场技术军备竞赛。网站方想抓访客数据，抓取方想反抓取，运营商夹在中间装聋作哑。抓到的手机号，有的被用来电话轰炸，有的被倒卖给房产中介，更狠的直接拿号码去注册各大平台账号刷量。我亲眼见过一个做家具的老板，手机一天收三十多条垃圾短信，全是装修公司发的——他根本没留过电话，但他在同行网站上看过沙发。

写到最后，我想起那个朋友得意的表情。他说：“现在做生意，谁还老老实实等客上门啊。”我没接话。技术本身没有善恶，但拿别人网站的访客信息填充自己的销售漏斗，这买卖，迟早要还的。那些被偷了号码的同行，可能到现在还纳闷：为什么最近咨询量少了，但电话销售比客户还勤快？