如何判断手机是否被黑：哪些迹象真正重要，哪些并不重要

关于这个话题，你能找到的每一份警示信号清单，开头都是同样的四项：耗电、发热、流量、卡顿。这四项都确实是手机被监控的症状。但它们也恰恰是一块用了两年的电池、一次系统更新，或者旅行回来后同步相册时的样子。

这就是问题所在：网上流传最广的建议，根本区分不了一部被入侵的手机和一部正常老化的手机。如果你是因为某些事感到不安才来到这里，光是让你留意电池，帮助并不大。

所以，本指南把这些迹象分成两组：真正有分量的迹象，以及几乎所有人都放在最前面、但单独出现时基本可以不必太当回事的迹象。

真正有分量的迹象

下面每一项都很难找到合理的解释。只要出现其中任何一项，就值得认真查看。

某个应用拥有只有监控才需要的权限

在 Android 上，打开“设置”，检查三个页面：无障碍（已下载的服务）、特殊应用权限中的 通知使用权，以及“安全”下的 设备管理应用。商业监控软件需要这些权限，因为它就是靠这些来读取你的屏幕、通知和键盘输入的。在一部正常的个人手机上，第一个和第三个页面通常是空的。

在 iPhone 上，对应的位置是“设置”中的“通用”，然后是 VPN 与设备管理。配置描述文件是雇主和学校使用的正当工具，也是少数几种无需利用漏洞就能在 iPhone 上实现持续监控的官方途径之一。在个人手机上，这里应该是空的。

这些列表里的名称是故意起得平淡无奇的：System Service、Device Health、Update Manager、Sync Services。真正的系统组件不会出现在“已下载”部分。

你的账号上有一台你不认识的设备

查看你的 Apple ID 设备列表（“设置”，然后点你的名字），或者在 myaccount.google.com 上查看你的 Google 账号。登录了你账号的人，根本不需要在你手机上装任何软件。他们用自己的设备就能读取你的备份、信息和位置。

这是每份指南里最容易被忽略的途径，而在现实中却是最常见的途径之一。

Play Protect 被关闭了，而你并没有关过

在 Android 上，打开 Play 商店，点个人资料图标，再点 Play Protect。它默认是开启的，并会在你从商店以外安装应用时发出警告。发现它被禁用，不是一种症状，而是有人做过某个决定的证据。

Apple 威胁通知

Apple 会向它认为遭到雇佣型间谍软件攻击的用户发出警告。登录 account.apple.com，看看是否有横幅提示。

有一点很重要：正因为这类警告令人恐慌又广为人知，它们成了骗子最喜欢的伪装。真正的 Apple 通知从不要求你点击链接、安装任何东西或交出密码。请自己输入 account.apple.com 来核实。

越狱或 root 的痕迹

在 iPhone 上搜索 Cydia、Sileo 或 Zebra，在 Android 上查找 root 管理工具。它们的存在并不能证明你被监视，但能证明有人移除了操作系统的保护，而在那之后，手机就不再是能如实反映自身状况的可靠证人。

对方知道一些他不该知道的事

这一条与技术无关，却往往是最强的信号。如果某个人总能知道你的位置、你的计划或某次私下谈话的内容，而他没有任何正常途径可以得知，这比任何电池读数都更说明问题。

人人都放在最前面的迹象，以及它们的分量

这些迹象并非毫无价值。但单独来看，它们的分量都远比网上暗示的要轻，因为每一项都有一个比被监控更可能的平常解释。

电池消耗变快。 锂离子电池每经历一次充电循环，容量就会下降一些。用了大约两年之后，电池明显变差是预料之中的结果，而不是症状。只有在它突然变化、手机还比较新、且期间没有更新的情况下，才值得留意。

手机闲置时发热。 后台应用刷新、云备份、更新后的索引任务。现代手机在你不看它的时候也会做很多事。

流量用得更多。 看看是哪个应用。如果是你的照片服务，或者某个关闭了“仅限 Wi-Fi”的视频应用，答案就有了。监控软件确实会上传数据，但它通常不是那个列表里数字最大的。

手机变慢或自动重启。 在较旧的硬件上更新操作系统，几乎必然会出现这种情况。

到处弹广告。 这是真实的症状，但它是来自某个可疑应用的广告软件，而不是针对你的监控。跟踪软件的设计目标就是保持隐形，给你弹广告只会适得其反。

手机发出了奇怪的短信。 通常要么是发件人被伪造了，你的手机根本没有问题；要么是一个短信诈骗应用。很少是监控。

通话时有奇怪的声音。 到了今天，这一条几乎完全是民间传说，是模拟电话时代留下来的说法。数字通话的音质会因为上百种原因而波动。

实话实说：如果你手上只有“电池变差”和“手机发热”这两条，最可能的解释是这部手机已经用了两三年。请改为对照第一份清单。

十分钟内你可以自己检查的内容

1. Android 上的三个权限页面，或者 iPhone 上的“VPN 与设备管理”。
2. 你账号的设备列表，Apple 和 Google 都要看。
3. Android 上的 Play Protect，包括它是否被禁用过。
4. 显示系统应用后的完整应用列表，留意和普通工具重名的应用以及你说不清来历的名称。应用可以隐藏图标，所以翻一遍主屏幕什么也证明不了。
5. 定位、麦克风、相机和照片的应用权限，留意拥有超常权限的普通应用。
6. 电池和流量，作为辅助参考，而不是定论。

分平台的详细步骤：检测 iPhone 上的间谍软件和检测 Android 手机上的间谍软件。

为什么上面的检查只能帮你走到这一步

凡是在手机本身上能做的事，都有一个结构性的限制。

在 iPhone 上，由于沙盒的存在，App Store 里没有任何应用能扫描系统。这就是为什么 iPhone 病毒扫描应用做不到它们介绍里暗示的那些事：它们只是在检查你的 Wi-Fi，并提醒你避开不良网站。在 Android 上你能看到更多，但一个应用仍然无法读取另一个应用的私有数据，而任何拥有 root 权限的东西，都能躲开上面列出的那些页面。

两者背后是同一个问题：你是在让一部被入侵的手机，用入侵者可能控制的软件来报告它自己的状况。

要突破这一点，就必须在手机之外对它进行分析。用数据线把手机连接到电脑，设备就会生成手机上任何应用都无权读取的备份和诊断数据：崩溃日志、记录哪些进程在何时使用网络的记录、已知间谍软件留下的痕迹。这些材料可以与已公开的入侵指标进行比对。

那些真正揭露这些攻击活动的研究人员就是这样工作的。Amnesty International 的安全实验室发布了开源的 Mobile Verification Toolkit，做的正是这件事，它也是 Pegasus 项目调查的基础。它免费、口碑很好，但它是命令行工具，默认你熟悉 Python 和取证输出。

Haris Shield 正是为了弥合这一差距而存在的：在电脑上对照同样的公开指标进行分析，并给出一份不用终端也能看懂的报告。当前版本通过数据线直接读取手机，而不是分析完整备份；工作原理页面详细列出了它在 iPhone 和 Android 上读取的内容。

如果你发现了什么，顺序很重要

这是本文最重要的部分，也是大多数指南完全跳过的部分。

如果你怀疑的人是伴侣、前任、家人或雇主，先不要删除任何东西。许多监控产品会在停止工作的那一刻通知安装它的人。在受控制的处境中，这条通知会让对方知道你发现了，而时机由对方而不是你来决定。由家暴援助机构和安全公司共同组成的反跟踪软件联盟（Coalition Against Stalkerware）对此有明确警告，并指出删除软件也会毁掉你日后可能需要的证据。

更安全的顺序是：

1. 不要改动手机上的任何东西，也不要和任何人当面对质。
2. 先寻求建议，使用一台对方从未接触过的设备。
3. 记录你发现的内容。
4. 用另一台设备保护你的账号：先处理电子邮箱，再处理 Apple 或 Google 账号，然后是聊天应用和银行，逐一检查每个账号的恢复地址和已登录设备。
5. 最后再决定是否删除，而且是在已经有人支持你的情况下。

关于这种处境的完整指南，请看跟踪软件：迹象，以及不该做的事。

如果你身边没有人可能是来源，考虑就简单多了：更新操作系统，删除你发现的东西，用另一台设备修改密码，并考虑恢复出厂设置，且不要恢复可能把问题重新装回来的备份。

事后如何降低风险

• 一个只有你知道的锁屏密码，并确保没有你没添加过的指纹或面容。这类事情大多是从有人拿到你的手机开始的。
• 更新一推送就安装。 大多数真实的入侵依赖的都是已经修补过的漏洞。
• 双重验证，先从电子邮箱开始，因为其他所有账号都靠邮箱来重置。
• 不要越狱或 root，也不要让任何人替你这样做。
• 每隔几个月查看一次账号的设备。
• 重新检查家庭共享。 在关系更融洽的时期设置一次、之后便被遗忘的位置共享，能解释人们所感受到的“被跟踪”中的很大一部分。

简短的回答

别管那些“耗电加发热”的清单。值得采取行动的迹象是：某个应用拥有你没有授予过的无障碍、通知或设备管理权限；iPhone 上有一个你解释不了的配置描述文件；你的 Apple 或 Google 账号上有一台陌生设备；Play Protect 被关闭；收到 Apple 威胁通知；越狱痕迹；以及某个人知道一些他没有正常途径得知的事。

这些你大约十分钟就能自己检查完。你无法做到的，是在手机上验证这部手机本身。如果你发现了什么，而背后可能是你生活中的某个人，请在改动任何设置之前先寻求建议。

资料来源

• Apple，关于 Apple 威胁通知以及防范雇佣型间谍软件：support.apple.com/en-us/102174
• Amnesty International 安全实验室，Mobile Verification Toolkit：mvt.re
• 反跟踪软件联盟（Coalition Against Stalkerware），给受害者的信息：stopstalkerware.org/information-for-survivors
• Google，Play Protect：support.google.com/googleplay/answer/2812853
• 电子前哨基金会（Electronic Frontier Foundation），监控自卫指南（Surveillance Self-Defense）：ssd.eff.org
• 美国全国家庭暴力热线（National Domestic Violence Hotline）：1-800-799-7233。反跟踪软件联盟列出了其他国家的援助机构。

相关阅读：如何检测 iPhone 上的间谍软件、如何检测 Android 手机上的间谍软件、跟踪软件的迹象和不该做的事、有人在跟踪我的手机吗，以及手机被窃听的迹象。