手机在裤兜里震了一下，突然条注我没在意。册验紧接着又震了一下，证码然后是短信第三下、第四下——像有人拿着牙签在疯狂戳我的突然条注大腿。我掏出来一看，册验屏幕被通知栏塞满了，证码清一色是短信“【XX网】您的验证码为482913，请勿泄露”。突然条注

我数了数，册验大概有二十多条，证码来自不同平台：有健身App的短信，有外卖软件的突然条注，有某个我根本没注册过的册验理财网站，甚至连一家宠物殡葬服务都给我发来了验证码。证码它们像商量好了一样，在同一分钟内涌入我的手机。

第一反应是有人恶作剧。但我立刻否定了这个想法——谁会无聊到用验证码轰炸一个陌生人？第二反应是恐慌：我的手机号是不是被泄露了？转念一想，我的手机号早就泄露过八百回了，各种骚扰电话和营销短信从来没断过。但这次不一样，这些验证码短信意味着有人正在尝试登录我的账号，或者——更糟——在注册新账号。

我盯着屏幕看了半分钟，短信还在增加。有位安全圈的朋友跟我说过，这叫“短信炸弹”，是一种报复手段，也可能是攻击前的烟雾弹。攻击者用大量验证码短信淹没你的手机，让你错过真正重要的通知——比如银行发来的转账提醒，或者支付平台的异常登录警告。

我立刻做了一件事：把手机关成静音，打开设置，检查有没有什么我没有主动发起的应用权限变更。然后我拨打了运营商客服，让他们暂时关闭短信功能。客服小哥很淡定，说今天已经接了十几个类似的电话了。他告诉我，最近有一种“撞库”攻击，黑客拿到某个平台的用户数据库，用同一个密码去试其他平台，如果试成功了，就会触发大量验证码短信。

“那我的钱会不会被转走？”我问。

“先生，验证码短信轰炸本身只是骚扰，真正的危险在于您是否点击了短信里的链接，或者是否把验证码告诉了别人。”他顿了顿，“您只要不回复、不转发、不点链接，基本没事。”

我挂了电话，松了口气。但那种被几十条短信同时轰炸的窒息感还在——手机像一块烧红的铁板，提示音已经变成了连续的噪音。我突然想起上个月在地铁上看到的那个女孩，她的手机也是这样疯狂震动，她一边删短信一边骂人，当时我还觉得她小题大做。

现在轮到我了。

说实话，比起钱财损失，更让我难受的是那种被控制感——你的手机号就像一个公开的门牌号，任何人都能往你的门缝里塞传单，而你连是谁塞的都不知道。我试着回拨了其中一条短信的发送号码，结果对方是空号。又试了另一条，语音提示“您拨打的用户已关机”。

所有线索都指向匿名，指向自动化工具。这些验证码短信背后可能只是一个脚本，在某个暗网论坛上花五十块钱就能买到。

那天下午，短信轰炸持续了大约四十分钟才逐渐停息。我删掉了所有通知，在手机备忘录里记下了这次事件的经过。后来我查了一下，发现很多受害者都遇到过类似情况，有些人是因为在网上跟人吵架，被对方用“验证码轰炸机”报复；有些人则是莫名其妙被选中，纯粹是因为手机号在某个被拖库的数据库里。

我属于后者。

这件事让我养成了一个习惯：任何App的验证码短信，我都不再直接点开，而是先去官方App里手动查一下。手机号泄露已经不可避免，但我至少可以做到不让自己因为恐慌而犯错。那些验证码短信本身没有威胁，威胁的是你慌了神之后做出的决定。