手机漏洞如何应对

去年秋天，手机我朋友老周差点被一条短信骗走两万块。漏洞短信伪装成银行客服，手机说他信用卡逾期，漏洞附了个链接。手机他点进去，漏洞页面跟银行官网几乎一模一样，手机填了卡号、漏洞密码、手机验证码。漏洞三分钟后，手机真银行打来电话问是漏洞不是本人操作。他这才反应过来——那个假网站，手机就是漏洞利用了他手机浏览器一个没修补的漏洞，自动读取了剪贴板里的手机验证码。

这事之后我查了一圈，发现大多数人根本不知道自己手机里藏着多少没堵上的口子。系统更新提示弹出来，随手点“稍后”；应用商店里那些要通讯录、要定位、要麦克风的App，为了用个手电筒功能也全给权限。漏洞不是黑客多厉害，是我们自己把门敞着。

手机漏洞分两类。一类是系统级的，比如安卓某些版本里的蓝牙协议漏洞，攻击者能在十米内远程执行代码，你连个弹窗都看不到。另一类是应用级的，像某些输入法、浏览器，为了“用户体验”过度索取权限，后台偷偷上传数据。老周遇到的那种，属于浏览器渲染引擎的漏洞，恶意网页一加载，就能绕过沙箱读本地文件。

怎么防？别指望装个杀毒软件就万事大吉。手机安全的核心在于“最小权限”和“及时修补”。先说修补。我现在的习惯是，系统更新只要不是半夜强制重启，立刻装。厂商推安全补丁是有节奏的，你拖一个月，可能那个漏洞的利用代码已经在黑产论坛里卖了三手。安卓用户尤其注意，谷歌每月发安全公告，但国内厂商跟进速度参差不齐。买手机时挑那些承诺长期更新系统的品牌，比看跑分实在。

权限管理更关键。我见过有人给一个手电筒App开了麦克风权限，问为什么，说“它要我就给了”。这不行。每次装新应用，我都在设置里把权限过一遍：地图要定位，合理；修图软件要相册，合理；但一个计算器要读取联系人，直接卸载。安卓12以后有个“近似位置”选项，能不给精确坐标就不给。iOS的“仅本次允许”也是好东西，别图省事选“始终”。

还有几个细节。公共WiFi别随便连，尤其是那种没密码的。我出差时宁可开热点，也不碰机场的免费网络——中间人攻击在那些地方太常见了。短信里的链接，哪怕显示是银行官方号码，也别直接点。伪基站能把发件人号码改成任何数字。要查账户，自己打开App或者手动输网址。另外，旧手机别留着当备用机还登着账号。我表弟去年卖了台旧安卓，恢复出厂设置就以为没事了，结果买家恢复出他半年前的聊天记录。正确做法是先用大文件反复覆写存储空间，再恢复出厂。

厂商那边也在动。谷歌去年搞了个“高级保护计划”，对高风险用户强制启用安全密钥。苹果的“锁定模式”能挡掉大部分零点击攻击。但这些功能默认不开，你得自己去设置里找。说白了，安全是个麻烦事，但比起老周差点丢的两万块，这点麻烦不算什么。

最后说个观察。我身边那些从没中过招的人，不是技术多好，是习惯好：更新不拖，权限不给，链接不点。手机漏洞永远会有，下一个零日漏洞可能明天就公布。但攻击者也是挑软柿子捏，你把门锁好，他自然去找下一家。