上周三凌晨两点，黑客我蹲在一个Telegram群里看人直播“开盒”。盗号一个ID叫“夜鸦”的软件人甩出一张截图——某电商平台用户的姓名、手机号、免费收货地址，黑客连最近三笔订单的盗号金额都清清楚楚。底下有人问：“免费版能查到什么程度？软件”夜鸦回了个咧嘴笑的表情：“免费版只给手机号，想要全量数据，免费得加钱。黑客”这场景不新鲜。盗号真正让我后背发凉的软件是，那个被开盒的免费倒霉蛋，从头到尾没收到任何异常登录提醒。黑客

所谓“黑客盗号软件免费版”，盗号在暗网论坛和某些短视频评论区里，软件被包装成“一键破解密码”的神器。点进去，通常是个网盘链接，解压后是个exe文件，运行界面粗糙得像2005年的QQ盗号木马。你输入目标手机号，它转两圈，弹出一行红字：“请开通VIP解锁完整功能。”——这就是免费版的真相：它根本盗不了号，它只盗你的钱包和你的设备权限。

我试过其中一个样本。沙箱里跑起来，它干的第一件事是扫描本地浏览器保存的密码，第二件事是往C盘写一个隐藏的vbs脚本，第三件事——连接一个越南IP的C2服务器，把前两步偷到的东西打包上传。整个过程静默，没有弹窗，没有卡顿。你以为自己白嫖了一个黑客工具，实际上你成了别人的肉鸡。那个“免费”的代价，是你所有社交账号、邮箱、甚至网银的登录凭证。

更常见的套路是钓鱼。去年有个案子，某高中生想盗同学的游戏账号，下载了“免费盗号软件”，按教程输入了自己的QQ号和密码“做测试”。三分钟后，他的号被踢下线，密保手机被改，空间里开始群发借钱消息。他以为自己在盗别人，其实软件的第一行代码就是“窃取本机QQ凭证并转发至指定邮箱”。这类软件在GitHub上换个名字重新打包，一个月能更新七八个版本，专骗想走捷径的人。

真正在暗网流通的盗号工具，从来不会免费。一套针对特定平台（比如某款手游或某邮箱服务）的撞库脚本，黑市价从几百到几千USDT不等，还带“售后”——包更新、包过验证码。免费版要么是残次品，要么本身就是陷阱。有个做安全研究的朋友告诉我，他逆向过十几个“免费盗号软件”，其中九个内置了挖矿模块，两个会锁死你的文件索要赎金，剩下一个最“良心”——只是把你所有账号密码明文发到某个俄罗斯邮箱。

平台的风控也在变。以前撞库能撞出一堆弱密码账号，现在稍微大点的平台都上了设备指纹和行为验证。你在这台电脑上登录，换个IP立刻触发短信验证。盗号软件免费版根本绕不过这些，它们能做的，要么是骗你自己输入密码，要么是偷你本地保存的凭证。前者靠社工，后者靠木马——都跟“破解”没半毛钱关系。

我见过最讽刺的案例，是一个人花了三天找“免费盗号软件”，最后在某个贴吧下载了一个压缩包，解压要密码，密码在另一个广告页上，点进去又让他下载另一个软件。循环了五层，他放弃了。第二天他发现自己的Steam账号被洗劫一空——那个压缩包里藏着一个信息窃取程序，在他折腾的第三天凌晨自动执行了。

别碰这些东西。你盯着别人的账号，别人盯着你的硬盘。免费的东西，往往是你自己才是那个被交易的商品。