最有可能监视你手机的，不是黑客，而是知道你密码的人。

按月订阅就能买到的间谍软件

“stalkerware”（跟踪软件）一词涵盖了一类看起来再普通不过的软件：以订阅方式出售的商业应用，常被包装成“家长监控”或“员工监督”。一张银行卡，每月十到四十欧元，任何人都能得到一个在线面板，把一部手机的生活尽收眼底：短信、持续的 GPS 定位、照片、浏览记录、通话记录。有些甚至能远程开启麦克风。

这其中没有任何技术含量。不需要秘密漏洞，也不用写一行代码。这类产品的设计初衷，就是让毫无技术基础的人也能在几分钟内，在一部握在手里的手机上完成安装。一旦装好，应用就会隐匿行踪：没有图标，进程名毫不起眼，屏幕上也不留任何痕迹。

具体规模难以精确衡量 这类软件生来就是为了不被看见。我们掌握的数字只是下限，而非上限：单单一家杀毒软件厂商，每年就在全球数以万计的手机上检测到它；由约四十家机构组成的 Coalition Against Stalkerware（反跟踪软件联盟）也指出，这一现象并未减退。而这还只统计了装有安全应用的设备：其余那些从未出现在任何统计数据里。

谁会安装这些应用？伴侣、前任、管得过界的父母，有时是雇主。有一点必须说清楚：在大多数国家，未经他人同意就在另一名成年人的手机上安装监视软件，属于刑事犯罪 无论两人之间是什么关系。

五分钟的物理接触，比任何病毒都更具破坏力

这是我们最希望你记住的一点，因为它彻底颠覆了人们对威胁的惯常想象。在受害者毫无操作的情况下远程入侵一部手机，其实极为困难：能做到这一点的漏洞售价高达数百万美元，用于国家级间谍活动，而非监视某个普通人。真正现实的路径要短得多：知道你的密码，再单独和你的手机待上五分钟。

在 Android 上，安装过程直截了当：开启“未知来源”，装上应用，授予它强大的权限（无障碍、设备管理员），再把图标隐藏起来。在 iPhone 上，安装间谍应用要困难得多 于是监视通常另辟蹊径：Apple 账户的登录凭据。谁掌握了这些凭据，就能读取备份、定位和照片，而根本无需安装任何东西。

由此得出的实际结论很简单，而且分文不花：你的解锁密码是你数字生活的第一道锁。一个“出于信任”而告诉别人的密码、一个生日、一个用了好几年都没换的密码 一切正是从这里开始的。把它改掉，并且只留给自己，重新成为一项基本的安全习惯。就像别把手机解着锁随手乱放一样。

真正的迹象 以及那些假信号

我们先来排除那些假信号，因为它们只会带来毫无意义的担忧：电池发热、手机变慢、流量用量忽高忽低。这些现象有成千上万种无害的成因 一个写得糟糕的应用、一块老化的电池、一次最近的系统更新。现代监视软件的设计初衷，恰恰就是不会这样露出马脚。

真正值得你留意的迹象另有其处。第一个迹象根本与技术无关：你身边有人知道了他们本不该知道的事 你去过哪里、写了什么、和谁聊过。这种信号一旦反复出现，比任何电池异常都更能说明问题。

在手机本身上，要找那些结构性的线索：一个你并不认识、却握有过大权限（无障碍、设备管理员）的应用；Android 上莫名开启、你却毫无印象曾经打开过的“未知来源”选项；登录了你 Google 或 Apple 账户的陌生设备；你从未设置过的位置共享。这些检查都在设置里，只需几分钟，不需要任何专门的技术。

该做什么 以及不该做什么

一个可以理解的本能反应，是立刻删掉那个应用。可这有时反而是个错误：这类软件大多会在停止上报的那一刻，通知当初安装它的人。如果那个人就在你的日常生活里，而眼下的处境又让你担忧，贸然删除可能让事情变得更糟。这种情况下，先做记录（截图、日期），再寻求帮助 反跟踪软件联盟的网站 stopstalkerware.org 按国家逐一列出了各地的求助机构。

如果你决定动手，请按顺序进行：

• →更改你的解锁密码 不要用生日，也不要用身边人早已知道的密码。
• →用另一台设备（朋友的手机、一台可信的电脑）先更改你的邮箱密码，再更改你的 Google 或 Apple 账户密码。
• →检查已登录这些账户的设备和会话，移除一切你不认识的项目。
• →为你的邮箱和主账户开启双重身份验证（2FA）。
• →作为最后手段，恢复出厂设置几乎能清除所有这类软件 前提是随后用全新的密码重新设置手机，而不是从一份已被入侵的备份中恢复。

Trasimène 能做什么

Trasimène 的应用监控会持续将已安装的应用与服务器实时更新的已知监视软件名单进行比对，并标记出那些露出破绽的权限组合 一个隐形的应用，若同时具备无障碍、开机自启和常驻后台运行，几乎不可能有任何正当的存在理由。

我们坦诚地谈谈它的局限，因为这正是本博客的核心：没有哪款安全应用能看到一切。通过 Apple 或 Google 账户凭据进行的监视，根本不会触及手机本身 它出现在账户设置里，而不是某次扫描中。正因如此，本文才带你走了两种检查的流程，而不只是我们能自动完成的那一种。

没有理由为此终日惶恐：本文所说的监视并非从天而降，而是来自身边，用几个简单的习惯就能防范 一个只属于你自己的密码、一个锁得严实的账户、时不时看一眼应用权限。如果有一天技术层面已不足以应对，因为事情已经超出了手机本身，大多数国家都有相关机构可以提供帮助。这些检查本身只需十分钟。它们值得做一次 也值得时不时重做一遍。

1. Kaspersky, "The State of Stalkerware in 2023", Securelist, 2024
2. Coalition Against Stalkerware, "About", stopstalkerware.org
3. Chatterjee, Doerfler, Orgad, Havron, Palmer, Freed, Levy, Dell, McCoy & Ristenpart, "The Spyware Used in Intimate Partner Violence", 2018 IEEE Symposium on Security and Privacy (SP)
4. Marczak, Scott-Railton et al., Citizen Lab, "FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild", 2021