2023年秋天，样入我蹲在城中村出租屋里，侵别用一台二手红米手机连上了隔壁WiFi。手机路由器后台密码是样入admin，隔壁老张从来没改过。侵别三分钟后，手机我看到了他手机里所有照片——包括他女儿的样入高考准考证。这不是侵别电影，是手机我亲身经历。

想碰别人的样入手机，最省事的侵别永远是物理接触。借来打个电话，手机趁对方不注意，样入设置里点开“开发者选项”，侵别打开USB调试。手机数据线一插，电脑上跑个adb，短信、通讯录、甚至微信聊天记录都能拖出来。整个过程不到两分钟，比泡碗方便面还快。有人觉得锁屏密码能挡一切，可大多数人解锁后就把手机随手一放，屏幕还亮着。

远程路子也有，但没电影里那么玄乎。安卓系统有个老漏洞叫Stagefright，一条彩信就能触发，2015年那会儿能直接拿shell。现在补丁早堵上了，可还有钓鱼。去年我见过一个案例：骗子伪装成“快递理赔”，发来一个APK安装包。受害者点开，屏幕上弹出一堆权限请求，手一抖全点了“允许”。那软件表面是理赔界面，后台却在读短信、传通讯录。三天后，受害者所有联系人收到“我换号了，借我两千”。

苹果用户别急着笑。iCloud账号撞库是重灾区。很多人密码是“姓名拼音+123456”，或者“生日+520”。我试过用社工库跑一个朋友的账号——他生日在朋友圈晒过，名字拼音写在快递单上。十次尝试就进去了。进去之后，查找我的iPhone能定位，iCloud照片能下载，备忘录里甚至存着银行卡密码。手机没丢，人没碰，数据全在别人手里。

还有一种笨办法，但成功率高得离谱：假基站。淘宝上搜“伪基站设备”，两千块能买到一套。开车在商圈转一圈，周围手机强制降级到2G。2G没有加密，短信直接明文传输。验证码、银行通知，全往你设备上跑。2019年深圳抓过一个团伙，他们专挑早晚高峰在地铁口蹲着，一天能截几百条验证码。后来运营商关了2G，这招才慢慢废掉。

说这些不是教人干坏事。我自己做安全测试，每次动手前都签授权书。可现实是，大多数人连“两步验证”都不开。微信登录设备管理里，一排陌生设备挂着，主人浑然不知。手机丢了第一反应是补卡，却忘了远程擦除数据。我见过最离谱的：有人把银行卡密码写在手机备忘录里，标题叫“别忘”。

真要防，其实不复杂。锁屏密码别用生日，六位数字比四位强。应用权限里，把“读取短信”“访问通讯录”全关掉，除非是银行App。iCloud和谷歌账号开两步验证，别用短信验证——SIM卡能被克隆。公共WiFi别连，尤其那些没密码的。手机系统更新别老点“稍后”，补丁就是补丁，不补就是漏。

最后说个真事。上个月我帮朋友检查手机，发现一个叫“系统服务”的App在后台跑了三天，耗了2G流量。点进去一看，图标是透明的，名字模仿系统应用，实际是个远控木马。朋友说，他前阵子扫了个“免费领皮肤”的二维码。删掉之后，我问他以后还扫不扫。他嘿嘿一笑：“不扫了，除非是拼多多砍一刀。”你看，人总觉得自己是例外。