2023年秋天，互联一位杭州的网风程序员在深夜收到银行扣款短信——卡里少了8万块。他没点过任何链接，险案没扫过陌生二维码，互联手机也没丢过。网风钱是险案通过他半年前注册的一个小众健身App泄露出去的。那个App早就停止更新了，互联服务器还挂在境外，网风数据库里存着明文密码和手机号。险案

这事最让人后背发凉的互联地方在于：他没做错什么。密码是网风随机生成的，双重验证也开了。险案问题出在那个App用HTTP明文传输登录请求，互联攻击者蹲在公共WiFi节点上，网风像捞鱼一样把数据包捞走了。险案技术圈管这叫“中间人攻击”，听起来很专业，说白了就是你在咖啡馆连WiFi登录账号，隔壁桌的人能看得一清二楚。

旧手机里的定时炸弹

我认识一个做二手手机回收的，他给我看过一份内部数据：随机抽检100台回收来的安卓机，其中23台能恢复出原机主的身份证照片，17台有完整的银行卡信息，还有9台甚至能直接登录原机主的微信——因为卖家只恢复了出厂设置，没退出账号。

恢复出厂设置这事，很多人以为就安全了。实际上安卓系统删除文件只是把索引抹掉，数据区的内容还在。用几十块钱的恢复软件就能捞回来。苹果稍微好点，但要是没开“查找我的iPhone”就卖出去，下家照样能通过技术手段绕过激活锁。

有个做安全的朋友跟我说过一句话：“你卖掉旧手机，等于把前半生的数字身份打包送人。”这话不夸张。有人专门收旧手机，不是为了翻新，就是为了提取里面的信息。一条完整的个人信息在黑市上能卖到几十到几百块不等，看新鲜程度。

那个被忽略的“小权限”

去年有个新闻，某款下载量过亿的输入法被曝出上传用户输入内容。官方解释说是为了优化词库，但安全研究员抓包发现，上传的数据里包含密码字段——因为很多人用输入法直接输密码，而输入法有“完全访问权限”。

权限这东西，用户点“允许”的时候基本不看。一个手电筒App要读取通讯录，一个计算器要访问位置信息，给还是不给？大部分人给了，因为不给就用不了。这种“权限绑架”是互联网产品的老套路了。更隐蔽的是，有些权限一旦授予，App能在后台持续收集数据，你根本不知道。

我自己的习惯是：装完新App先关掉所有非必要权限，用的时候再开。麻烦，但比出事后再补救强。

钓鱼邮件的新花样

前阵子收到一封邮件，发件人显示是“公司IT部”，标题是“您的邮箱容量已满，请立即清理”。里面有个链接，点进去是个和公司登录页一模一样的页面。我差点就输了密码——直到发现浏览器地址栏的域名多了个连字符。

这种攻击叫“精准钓鱼”，攻击者会先研究目标的社交关系、工作习惯，再定制邮件内容。以前那种“尼日利亚王子”的粗放式骗局已经过时了。现在的手法精细到：知道你最近在哪个平台购物，就发那个平台的“退款通知”；知道你刚订了机票，就发“航班取消改签”链接。

防这种攻击，技术手段只是一部分。更关键的是习惯：任何要你输入密码的链接，先看域名；任何催你赶紧操作的邮件，先放一放。攻击者利用的就是“紧急感”——你一着急，就容易出错。

互联网风险这事，说到底不是技术问题，是人的问题。系统有漏洞可以补，人有漏洞，只能靠自己多留个心眼。别嫌麻烦，麻烦一次，可能就省了八万块。

(责任编辑：娱乐)