张伟把手机屏幕亮度调到最低，别人在宿舍熄灯后躲在被窝里试了试那个从贴吧学来的号密“找回密码”漏洞。他输入了同桌的码教QQ号，点“忘记密码”，别人选择“通过好友辅助验证”。号密系统跳出的码教三个好友头像里，有两个他根本不认识，别人但第三个——是号密张伟自己的小号。他愣了两秒，码教然后笑了。别人

盗QQ号从来不需要什么黑客技术。号密腾讯的码教安全体系像个筛子，最大的别人漏洞不是代码，是号密人。你不需要破解密码，码教只需要让系统相信你是号主。方法多到能写本书，但核心就一条：利用“信任链”的松动。

最常见的是“撞库”。别笑，真的管用。很多人所有平台都用同一个密码，张伟花五块钱在暗网上买了份“2023年某网站脱库数据”，用Excel一筛，同桌的QQ邮箱赫然在列。密码是“wang123456”，和那个游戏论坛的密码一模一样。他登录时手都在抖，结果一次成功。就这么简单，像拿钥匙开自己家门。

更土的办法是“钓鱼”。张伟后来试过给班里女生发了个假QQ空间链接，页面做得和真的一模一样，她输入账号密码后页面报错“系统升级中”。十分钟后，张伟已经在她空间相册里了。她甚至没改密码，因为她根本不知道那是假的。人总是对“熟悉的界面”放松警惕，这毛病十年都改不了。

还有个偏门叫“申诉材料伪造”。这招需要点耐心。你去QQ安全中心点“账号申诉”，填历史密码、好友列表、充值记录——这些信息从她微博、朋友圈、QQ空间留言板里都能扒出来。张伟用了一下午翻同桌的公开动态，拼凑出他小学、初中、高中分别用的网名，加上他妈妈生日（从他晒的蛋糕照片里看到的），申诉通过率高达七成。系统只认数据，不认人。

最讽刺的是“盗号之后”的环节。张伟没有改密码，也没发广告。他登录同桌的号，翻了翻聊天记录，看了几篇私密日志，然后默默退出。他发现同桌暗恋隔壁班的一个女生，聊天记录里全是小心翼翼的试探。那种感觉很奇怪——你明明可以毁掉一个人，但当你真的拿到钥匙，反而觉得索然无味。

后来张伟把QQ号还了回去，甚至没被发现。他跟我讲这事的时候，正在网吧打游戏，屏幕上枪声不断。他说：“你知道最可怕的是什么吗？我花了一下午研究这些，最后发现，根本不需要研究。人自己就把门敞开了。”

他说的没错。QQ号从诞生那天起就带着原罪——它绑定太多个人信息，却又给用户太少的控制权。密码保护问题设成“母亲姓名”的人，和把密码写在便利贴上贴在显示器上的人，本质上没区别。安全提示里那句“请勿向他人泄露密码”，在人性面前脆弱得可笑。

写这些不是为了教谁犯罪。我只是想告诉你，下次看到有人用“找回密码”功能时，别觉得那只是流程。那可能是最古老的骗术——利用系统对你的信任，去换取你对系统的信任。而这两者，从来都不是一回事。