如果你正在读这篇文章，很可能已经有什么事让你感到不安。电池不到中午就耗光了。伴侣知道一些你从没告诉过他的事。手机放在口袋里一整夜都是热的。你想找一个能扫描 iPhone、告诉你真相的应用，结果在 App Store 里找到了几十个。

而那些卖应用的人都不愿意解释的是：在 iPhone 上，它们做不到你以为它们在做的事。

为什么 iPhone 杀毒应用找不到间谍软件

iOS 把每个应用都放在沙盒里。一个应用只能看到自己的文件，别的什么都看不到。它无法读取其他应用的数据，无法列出手机上正在运行的进程，也无法查看系统文件。这种设计正是 iPhone 本来就很难被感染的原因之一，对你确实有好处。

但这是一把双刃剑。那堵阻止恶意应用读取你银行应用的墙，同样也阻止了安全应用去发现恶意应用。iOS 上根本不存在“全盘扫描”这回事，因为 Apple 不允许它存在。App Store 里任何以“iPhone 病毒扫描”为卖点的产品，充其量也就是检查一下你的 Wi-Fi 设置、提醒你避开不良网站，再告诉你 iOS 版本过旧了。

对于你真正担心的那些威胁，这一点最为关键。像 Pegasus 这样的雇佣型间谍软件利用的是操作系统深处的漏洞，处在任何沙盒内应用都无法观察到的层面。在沙盒里运行的工具，就像被锁在橱柜里的人在找窃贼。

那么，既然无法在手机上扫描，你实际上能做些什么？

十分钟内你可以自己完成的五项检查

这些检查都不能给出定论。但每一项都值得做，其中几项已经发现过真实的入侵。

1. 查看是否收到 Apple 威胁通知

Apple 会监测国家级间谍软件的攻击活动，并向它认为遭到攻击的人发出警告。自 2021 年以来，它已向 150 多个国家的用户发出过通知；仅 2024 年 4 月的一次攻击活动，就涉及 92 个国家的用户。

有一点必须注意：正因为这类通知令人恐慌又广为人知，它们成了骗子最喜欢的伪装。真正的 Apple 威胁通知从不要求你点击链接、安装任何东西、打开文件或交出密码。如果一条消息要求你做其中任何一件事，它就不是 Apple 发的。请自己手动输入网址，登录 account.apple.com 核实。

2. 检查配置描述文件

配置描述文件是 iOS 的一项正当功能，让雇主或学校可以管理设备。它也是少数几种无需利用漏洞、就能在 iPhone 上实现持续监控的官方途径之一，这就是为什么商业跟踪软件有时会让人趁拿着你手机的时候装上一个描述文件。

进入“设置”，然后是“通用”，再进入“VPN 与设备管理”。在一部正常的个人 iPhone 上，这个页面是空的，或者只有你认得出来自雇主的描述文件。任何你不认识的东西，在删除之前都需要先弄清楚来历。

3. 审查应用被允许查看的内容

进入“设置”，然后是“隐私与安全性”，逐项查看定位服务、麦克风、相机、照片和通讯录。你在这里找的并不是间谍软件，而是拥有超常权限的普通应用。因为最常见的手机监控形式根本不是什么奇特的恶意软件，而是有人安装了一个家庭共享应用、照片备份服务或笔记工具，再悄悄把它绑定到自己的账号上。

顺便打开“设置”，点按顶部你的名字，查看登录了你 Apple ID 的设备列表。出现一台你不认识的设备，就意味着有人能读取你的 iCloud 备份，其中也包括你的信息。

4. 查找越狱的迹象

大多数能长期驻留的 iPhone 间谍软件都需要越狱的设备。如果你的手机在你不知情的情况下被越狱了，你可能会发现一个从没装过的应用，名叫 Cydia、Sileo 或 Zebra。在手机上搜索这几个名字。它们的存在并不能证明你被监视，但能证明有人移除了 Apple 对你设备的保护。

5. 对照你的使用习惯查看电池和流量

打开“设置”，然后是“电池”，查看最近十天的情况。再进入“设置”，然后是“蜂窝网络”，浏览每个应用的流量总计。你要找的是与你实际使用习惯不符的东西：一个你从来不打开的应用排在电池列表前列，或者以 GB 计的后台流量。

把这一项当作五项中最弱的信号。电池老化、iOS 更新，或者旅行回来后同步相册，都会产生同样的现象。无法解释的消耗是进一步查看的理由，而不是定论。

这些检查无法告诉你什么

上面的一切都发生在沙盒之内，这意味着任何复杂的东西都能躲过它们。零点击间谍软件不留图标、不申请权限，也不需要你点任何东西。它可以通过一条你从没打开过的消息安装上去，有些变种甚至在重启后就不复存在，这让当场抓住它更加困难。

痕迹确实存在，只是不在 iOS 允许应用查看的地方。它们藏在崩溃日志里，藏在记录哪些进程在何时使用网络的数据库里，藏在一个记录关机情况的小系统文件里，也藏在加密备份内的元数据里。要读取这些痕迹，必须走出沙盒，而切实可行的办法只有一个。

借助电脑分析是怎么进行的

用数据线把 iPhone 连接到电脑，手机就可以生成完整备份，以及手机上任何应用都无权读取的诊断数据。随后，可以将这份备份与已知的入侵指标进行比对：已知雇佣型间谍软件会联系的域名、它创建的进程名称、它留下的痕迹。

这正是那些真正揭露这些攻击活动的研究人员所使用的方法。Amnesty International 的安全实验室发布了一款名为 Mobile Verification Toolkit 的开源工具，做的就是这件事，它也是 2021 年 Pegasus 项目调查的基础。它免费、口碑很好，但它是命令行工具，默认你能熟练安装 Python 软件包并解读取证输出。

最后这一点才是实话实说的难处。方法可靠，工具公开，但一个忧心忡忡的普通人和一次可用的取证分析之间，差距很大。Haris Shield 就是为了弥合这一差距而存在的：在电脑上对照同样的公开指标进行分析，并给出一份不用终端也能看懂的报告。当前版本不分析完整备份。它通过数据线读取崩溃日志和已安装的描述文件，如果你导入 sysdiagnose，也会一并读取；完整列表请看工作原理。

如果你发现了什么，删除之前先读这一段

这是本文最重要的部分，也是大多数指南都会跳过的部分。

如果你怀疑监视你的人就在你的生活中——伴侣、前任、家人、雇主——那么删除间谍软件并不一定是第一步。许多跟踪软件产品会在被禁用的那一刻通知安装它的人。在受控制或遭受虐待的处境中，监控停止的那一刻，就是监视你的人知道你已经发现的那一刻。这种局势升级是有据可查的风险，而不是假设。

由家暴援助机构和安全公司共同组成的反跟踪软件联盟（Coalition Against Stalkerware）对此说得很明确：删除跟踪软件也会删除证据，而如果你去报警，这些证据可能很重要。

更安全的操作顺序是：

暂时不要在手机上做任何操作。不要和任何人当面对质。
先寻求建议，使用一台对方从未接触过的设备。家暴援助机构可以帮你规划先后顺序。
记录你发现的内容。一份取证报告比一张截图更有价值。
用另一台设备修改密码并开启双重认证，不要用你怀疑的那部手机。
然后再决定是否删除，最好是在已经有人支持你的情况下。

如果你不在那种处境中，入侵看起来像是普通犯罪或来自不明攻击者，考虑就简单多了。更新 iOS，删除你发现的东西，修改 Apple ID 密码，并考虑恢复出厂设置，且不要恢复可疑的备份。

让自己成为更难攻破的目标

开启锁定模式，如果你有真实的理由认为自己是攻击目标。它位于“设置”中的“隐私与安全性”，会禁用这类漏洞利用所依赖的信息附件类型和网页功能。Apple 表示，它尚未发现任何针对开启了锁定模式的设备的雇佣型间谍软件攻击取得成功。有些功能会无法使用，而这正是它的意义所在。
iOS 更新一推送就安装。 这些攻击活动大多依赖 Apple 已经修补过的漏洞。
使用一个只有你知道的锁屏密码，并检查是否有人额外添加了面容 ID 或 Touch ID。
不要越狱，也不要让任何人替你越狱。
每隔几个月审查一次你的 Apple ID 设备。

简短的回答

你无法在 iPhone 上扫描 iPhone 本身的间谍软件。任何声称能做到的东西，都受限于一个它逃不出去的沙盒。你自己能做的，是检查 Apple 威胁通知、来历不明的配置描述文件、权限过多的应用、越狱痕迹，以及与你的习惯不符的消耗。除此之外，唯一真正的答案是借助电脑进行分析。

如果你发现了什么，而背后可能是你生活中的某个人，请在动任何东西之前先寻求建议。扫描是容易的那一部分。

资料来源

Apple，关于 Apple 威胁通知以及防范雇佣型间谍软件：support.apple.com/en-us/102174
Amnesty International 安全实验室，取证方法报告：如何抓住 NSO Group 的 Pegasus：amnesty.org
Mobile Verification Toolkit：mvt.re
反跟踪软件联盟（Coalition Against Stalkerware），给受害者的信息：stopstalkerware.org/information-for-survivors

不装任何应用，如何检测 iPhone 上的间谍软件