2023年夏天，别人我陪朋友去派出所报案。微信他的密码微信号被人在异地登录，绑定的别人手机号被解绑，零钱里的微信四千多块被转走。警察做完笔录说了一句话：“最近这类案子太多了，密码你们算来得早的别人。”我问他怎么被盗的微信，他掏出手机给我看——一条短信，密码内容是别人“您的微信账号存在安全风险，请点击链接验证身份”。微信他点了，密码填了手机号、别人密码、微信验证码。密码前后不到两分钟。

这就是最常见的路子。不是黑客电影里那种敲代码攻破服务器，而是让你自己把密码交出去。

钓鱼链接是效率最高的手段。骗子批量群发短信，内容五花八门——“微信安全中心”“账号异地登录”“违规操作即将封号”。链接点进去，页面做得和微信登录界面几乎一模一样，连字体和图标都照搬。你输入手机号和密码，页面转两秒，提示“验证失败，请重试”，再输一次。两次输入，密码就到手了。验证码也一样，页面会引导你“接收短信验证码以完成验证”，你填进去，对方立刻用你的账号在新设备上登录。

有人觉得这种骗术太低级，自己不会上当。但数据摆在那：腾讯2022年的报告说，钓鱼攻击占账号被盗案件的六成以上。骗子不挑聪明人，他们赌的是概率。发一万条短信，有十个人点了，其中三个人填了，就够了。

另一种方式更隐蔽——木马。安卓用户是主要目标。你在某些小网站下载“微信多开”“抢红包插件”“自动回复工具”，安装时系统提示“需要读取短信权限”，你点了允许。这个App表面能用，实际上在后台把你收到的每条短信转发到指定号码。微信登录需要短信验证码，验证码一到，骗子那边同步收到。你的手机可能连提示都没有。

我见过一个案例。一个做微商的女人，为了批量管理客户，装了一个“微信助手”的破解版。用了三天，账号被盗，骗子用她的身份向所有好友群发借钱消息，配上一张伪造的转账截图。她的好友里有人转了八千。她发现的时候，账号已经被冻结了。

还有一条路，靠“猜”。很多人设置的微信密码和QQ密码、邮箱密码、甚至银行卡密码完全一样。骗子从其他渠道拿到一份泄露的账号密码数据库——暗网上这种数据按条卖，一万条几十块钱——然后写个脚本，批量去试微信登录。成功率不高，但成本极低。你如果所有账号共用一个密码，等于把所有鸡蛋放在一个篮子里，篮子还是别人编的。

说这些不是为了教人使坏。恰恰相反，知道套路长什么样，才不容易踩进去。微信本身的安全机制其实不差：新设备登录要验证、异常操作会触发人脸识别、支付有独立密码。但这些防线都有一个前提——你自己不把钥匙递出去。

我朋友的案子最后没破。四千多块，不够立案标准，警察说只能等串并案。他后来把所有密码换了一遍，每个账号都不一样，写在纸上锁抽屉里。麻烦吗？麻烦。但比起被盗之后折腾的那三个月，这点麻烦不算什么。

骗子不会消失。他们只是换话术、换链接、换App。你唯一能做的，就是记住一件事：微信官方永远不会发短信让你点链接填密码。永远不会。