去年我帮一个做律师的查苹朋友检查他的iPhone，他在代理一桩商业纠纷案后总觉得手机不对劲——电池掉得飞快，果手通话偶尔有回音。被安我用一台Mac接上他的装窃手机，跑了三遍sysdiagnose日志分析，查苹最后在Console里翻到一条反复出现的果手进程：一个伪装成运营商配置文件的描述文件，每三十分钟向一个新加坡IP发送一次加密数据包。被安他根本没印象装过这东西。装窃

苹果手机被装窃听程序，查苹绝大多数情况下不是果手通过什么零点击漏洞入侵的。那种事情成本极高，被安目标通常是装窃记者、政客、查苹大企业高管。果手普通人遇到的被安，十有八九是自己或者身边人亲手点了"信任"按钮。装个描述文件，或者越狱后被人塞了个插件，就这么简单。

先看这几个地方，五分钟能排查大半

打开设置-通用-VPN与设备管理。如果你看到任何不认识的"配置描述文件"或"设备管理"条目，尤其是那些名字起得像系统组件、运营商配置、或者干脆是一串乱码的，立刻截图记下来。正常的个人手机这里应该是空的。企业统一管理的设备除外，但你得确认那个管理方是你知道的公司。

再查设置-隐私与安全性-分析与改进-分析数据。往下翻，找有没有异常高频的进程名。iOS的日志文件名通常有规律，比如`JetsamEvent`、`panic`开头的是系统崩溃日志。如果你看到某个不认识的进程名每天出现几十次，而且名字拼写奇怪——比如把`config`拼成`conifg`——那就值得警惕了。

电池用量也是个笨但有效的指标。设置-电池，看过去24小时和过去10天的用量。窃听程序要持续上传数据，耗电必然异常。如果某个你几乎不用的App排在耗电前列，或者"无蜂窝数据覆盖"这一项占比奇高，说明后台有东西在反复尝试联网。

那些"间谍App"到底怎么进来的

我见过最多的案例是：受害者收到一条短信，说"您有一条未领取的快递"或者"您的Apple ID在异地登录"，附一个链接。点进去后页面做得跟苹果官网一模一样，引导你安装一个"安全验证"描述文件。装完手机确实能正常用，但那个描述文件已经给了对方远程安装App、读取位置、访问麦克风的权限。

另一种是物理接触。有人趁你不注意，拿你手机插上电脑，用爱思助手之类的工具装个伪装成计算器或天气的App。这种App在桌面上看起来正常，点开也能用，但后台一直在跑。查的时候可以去设置-通用-iPhone储存空间，按名称排序，看看有没有哪个App的文档与数据大小异常——比如一个计算器占了200MB，肯定有问题。

越狱设备风险高一个数量级。Cydia或Sileo里那些破解插件，很多都带后门。如果你越狱过，又装过不明来源的源，建议直接抹掉重刷。

真发现了怎么办

别急着删。先开飞行模式，然后用另一台设备拍下所有可疑描述文件和App的截图。如果涉及法律纠纷，这些是证据。然后备份重要数据到电脑——注意是加密备份，别用iCloud，因为iCloud备份会同步描述文件。备份完，设置-通用-传输或还原iPhone-抹掉所有内容和设置。恢复时选择"设置为新iPhone"，别从备份恢复，否则可能把恶意配置一起带回来。

最后说句实在的：苹果的封闭生态已经挡掉了大部分攻击。真正被国家级别工具盯上的人，手机根本不会让你察觉异常。普通人遇到的，都是社会工程学。管住手，别乱点链接，别乱装描述文件，比装什么安全软件都管用。