手机在深夜自己亮了起来。入侵屏幕上一行行代码滚过，手机像蚂蚁搬家。客软机主翻了个身，入侵没看见。手机三分钟后，客软屏幕暗下去，入侵一切如常。手机但手机里已经多了一个看不见的客软房客——一个不到2MB的APK文件，图标被隐藏，入侵进程名伪装成“系统更新服务”。手机

这类东西不靠漏洞入侵，客软靠的入侵是你亲手把它请进来。去年我拆过一台二手安卓机，手机卖家说“恢复出厂设置了”。客软我用adb拉了一遍安装列表，发现一个叫“com.android.system.secure”的包。名字像系统组件，签名却是自签的。打开它，权限列表长得吓人：读取短信、监听通话、访问通讯录、后台定位、调用摄像头。最狠的是“无障碍服务”——一旦开启，它就能模拟点击，替用户操作任何App。

安装方式很土。一个伪装成“成人视频播放器”的网页弹窗，或者一条“你的快递丢失，点击理赔”的短信。点下去，浏览器下载一个apk，系统提示“禁止安装未知来源应用”。它不着急，引导你去设置里打开开关。整个过程像钓鱼，鱼饵是人的好奇心或焦虑。

装好之后，它做的第一件事是申请设备管理员权限。屏幕弹出“是否允许此应用锁定屏幕或清除数据”，很多人看都不看就点“激活”。一旦激活，普通卸载方式就删不掉它了。你得先取消激活，再卸载。但它的图标根本不在桌面上，你找不到入口。它藏在设置→应用→显示系统进程里，名字叫“com.qualcomm.services”之类，跟你手机里的真系统应用混在一起。

我见过一个案例。某公司财务总监的手机被入侵，黑客没偷钱，先花了三天读他的短信和微信聊天记录。然后模仿他的语气给会计发消息：“那个供应商的账号变了，先打50万过去，手续后补。”会计没怀疑，因为消息来自老板的真号。钱转走之后，黑客远程清除了所有痕迹——短信删掉，通话记录抹掉，那个恶意App自己卸载了自己。手机主人直到三天后查账才发现。

更隐蔽的是“无文件攻击”。恶意代码不落地，只活在内存里。重启手机就没了，但重启之前，它已经把你通讯录上传到某个云盘，把你的相册打包发走。你甚至看不到任何异常耗电或弹窗。这类攻击通常通过一个恶意链接触发，利用浏览器或WebView的漏洞执行shellcode。普通用户完全无感。

怎么判断自己中招了？看三个地方。第一，设置→无障碍里有没有你不认识的服务开着。第二，设置→设备管理器里有没有奇怪的App激活。第三，流量使用情况里，有没有某个系统进程每天跑几百MB。如果有，别犹豫，备份照片和文档，然后恢复出厂设置。恢复之后，别从旧备份里恢复应用数据，只恢复照片和通讯录。

有人问，iPhone安全吗？相对安全，但不是绝对。非越狱的iPhone确实很难被远程植入恶意软件，但如果你点了钓鱼链接，输入了Apple ID密码，黑客就能通过iCloud同步你的数据。更狠的是“锁屏漏洞”——某些iOS版本在锁屏状态下能调出Siri发短信或打电话，配合社会工程学也能骗到钱。iOS的封闭生态提高了门槛，但门槛不是墙。

安卓这边，情况复杂得多。国内应用商店审核参差不齐，很多小众商店里的App被二次打包过。你下载的“破解版”或“去广告版”，很可能就是黑客的诱饵。我自己的习惯是：只从Google Play或手机自带官方商店装App，关闭“未知来源”安装权限，定期检查无障碍和设备管理器列表。听起来麻烦，但比钱被转走之后报警简单。

最后说一个细节。很多恶意软件会监听“卸载”这个动作。你一旦在设置里点“卸载”，它会立刻弹出一个假界面，说“此应用是系统核心组件，卸载可能导致手机无法开机”。你怕了，点了取消。它就继续活着。正确的做法是：先开飞行模式，再进安全模式卸载。安全模式下第三方App不启动，它拦不住你。

手机是你最私密的抽屉。别随便把钥匙给陌生人。