一条陌生短信躺在通知栏里，手机写着“你最近去过的定位地方我都知道”，附带一个短链接。病毒点开之后手机没有任何异常反应，手机没有新App图标，定位没有权限弹窗。病毒但三天后，手机我朋友发现自己的定位实时位置正在被同步到一个陌生账号。这不是病毒电影情节，是手机去年发生在杭州的一起真实案例。手机定位病毒最危险的定位地方就在这——它不需要你“安装”什么，你点一下链接就够了。病毒
这类病毒的手机技术门槛比大多数人想象的低。一个懂点Android开发的定位人，花几百块买个现成的病毒木马框架，套上钓鱼页面就能投出去。它们通常伪装成“快递查询”“违章提醒”甚至“健康码”页面——对，健康码也没能幸免，2022年就出现过仿冒健康码的定位窃取程序。用户点开链接，浏览器加载页面时悄悄触发一个漏洞利用脚本，利用系统未修补的安全缺陷提权，把定位模块的调用权限转交给后台进程。整个过程不需要用户做任何确认操作。
iOS用户别急着松口气。虽然苹果的沙盒机制确实更难突破，但通过企业证书签名的恶意应用照样能绕过App Store审核。去年被曝光的“Find My Kids”山寨版就是典型——它要求用户手动信任一个企业级证书，然后堂而皇之地申请定位权限。很多人看到“儿童定位”四个字就点了允许，根本没注意开发者签名一栏写着某个不知名的贸易公司。
定位病毒拿到位置数据之后做什么？卖。一条实时定位信息在黑市上能卖到几十到几百块不等。买家可能是讨债公司、私家侦探，也可能是更阴暗的角色。我见过一个案例，受害者是位独居女性，她的位置数据被持续卖给同一个人，对方在她常去的健身房和超市附近“偶遇”了她四次。报警后警方查到数据源头是她半年前点过的一个“双十一优惠券”链接。
怎么判断自己中招了？几个信号：手机待机耗电突然变快，因为定位模块被频繁唤醒；下拉通知栏偶尔闪过一个陌生图标，那是后台进程在刷新位置；流量统计里某个不认识的进程持续消耗少量数据。最直接的办法是去设置里查看“位置信息”的最近请求记录——Android 12以上和iOS 15以上都提供了这个功能。如果看到某个你没印象的App在后台频繁请求定位，那基本就是了。
清除比预防难。有些病毒会把自己写进系统分区，恢复出厂设置都删不掉。稳妥的做法是备份照片和通讯录之后，用电脑线刷完整固件包。别信那些“手机杀毒软件”能彻底清除——它们连病毒进程都结束不了，因为病毒往往以系统服务名义运行。至于预防，说烂了的那句“别点陌生链接”确实管用，但更实际的是关掉浏览器里“允许未知来源安装应用”的选项，以及定期检查企业证书列表里有没有莫名其妙的东西。
定位数据不像密码，泄露了可以改。你的住址、工作地点、常去的医院和学校，这些信息一旦流出去就永远收不回来。我那位杭州朋友后来换了手机号，搬了家，但她说现在每次收到陌生短信还是会心头一紧。这种心理上的后遗症，比病毒本身更难清除。