用訂閱就能買到的間諜軟體
「stalkerware（跟蹤軟體）」這個詞，涵蓋了一整類看起來再普通不過的軟體：以訂閱方式販售的商業應用程式，往往打著「家長監護」或「員工監控」的旗號。一張信用卡、每月十到四十歐元，任何人都能取得一個線上控制台，將一支手機的生活盡收眼底：訊息、持續的 GPS 定位、照片、瀏覽紀錄、通話紀錄。有些甚至能開啟麥克風。
這其中毫無技術含量。沒有什麼秘密漏洞，也不必寫一行程式碼。這類產品的設計初衷，就是讓一個毫無技術能力的人，在幾分鐘內、在他手中握著的那支手機上完成安裝。一旦裝好，這個應用程式便深藏不露：沒有圖示、一個不起眼的程序名稱、螢幕上什麼也看不到。
其規模難以精確衡量 這本就是為了不被看見而打造的軟體。我們手上的數字只是下限，而非上限：單單一家防毒廠商，每年就在全球數萬支手機上偵測到它；集結了約四十個組織的 Coalition Against Stalkerware（反跟蹤軟體聯盟）則指出，這個現象並未消退。而這還只計入了裝有安全軟體的裝置：其餘的，從來不會出現在任何統計數字裡。
是誰安裝了這些應用程式？伴侶、前任、過度干涉的父母，有時是雇主。有一件事必須說清楚：在大多數國家，未經同意在另一名成年人的手機上安裝監控軟體，都是一種刑事犯罪 無論兩人之間是什麼關係。
五分鐘拿到手機，比任何病毒都更具破壞力
這是我們最希望你記住的一個觀念，因為它顛覆了人們對威脅的一般想像。在受害者毫無互動的情況下遠端入侵一支手機，是極其困難的：能做到這件事的漏洞要價數百萬，用於國家層級的間諜行動，而不是用來監視某個普通人。現實中的途徑要短得多：知道你的解鎖密碼，再單獨和你的手機相處五分鐘。
在 Android 上，安裝過程直截了當：開啟「未知來源」、安裝應用程式、授予它強大的權限（無障礙功能、裝置管理員），再把圖示隱藏起來。在 iPhone 上，安裝間諜應用程式要困難得多 因此監控通常改走另一條路：Apple 帳號的登入憑證。只要知道帳密的人，無需安裝任何東西，就能讀取備份、定位與照片。
由此得出的實際結論很簡單，而且分文不花：你的解鎖密碼，是你數位生活的第一道鎖。一組「出於信任」而分享出去的密碼、一個生日、一組用了好幾年的密碼 一切往往就是從這裡開始出問題的。更換它、並只讓自己知道，重新成為一項基本的安全習慣。就像別讓解鎖狀態的手機隨處亂放一樣。
真正的徵兆 以及假的徵兆
先把假徵兆清掉，因為它們只會餵養無謂的擔憂：電池發熱、手機變慢、數據用量忽高忽低。這些症狀有上千種無害的原因 一個寫得很糟的應用程式、一顆老化的電池、一次剛裝好的更新。現代的監控軟體，正是被刻意設計成不會這樣露出馬腳。
真正值得你留意的徵兆在別的地方。第一個徵兆完全與技術無關：你身邊有人知道了一些他本不該知道的事 你去過哪裡、寫了什麼、和誰說過話。這樣的訊號一再出現，比任何電池症狀都更值得警惕。
至於手機本身，要找的是結構性的線索：一個你不認得、卻握有過大權限（無障礙功能、裝置管理員）的應用程式；Android 上明明沒印象自己開過、卻已啟用的「未知來源」選項；一台陌生的裝置登入了你的 Google 或 Apple 帳號；一個你從未設定過的位置分享。這些檢查都藏在設定裡，只要幾分鐘，也不需要任何特別的技術。
該做什麼 以及別做什麼
一個可以理解的直覺反應，是立刻把應用程式刪掉。但這有時反而是個錯誤：這類軟體大多會在停止回報的那一刻，通知當初安裝它的人。如果那個人是你日常生活的一部分，而情況又讓你感到不安，貿然移除可能會讓事情惡化。在這種情況下，請先留存證據（截圖、日期），再尋求協助 Coalition Against Stalkerware 的網站 stopstalkerware.org 依國家列出了各地的求助組織。
如果你決定採取行動，請按順序進行：
- →更換你的解鎖密碼 不要用生日，也不要用某個身邊人早已知道的密碼。
- →從另一台裝置（朋友的手機、一台可信任的電腦）上，先更改你的電子郵件密碼，再更改你的 Google 或 Apple 帳號密碼。
- →檢視登入這些帳號的裝置與連線階段，移除任何你不認得的項目。
- →為你的電子郵件與主要帳號開啟兩步驟驗證（2FA）。
- →作為最後手段，恢復原廠設定幾乎能清除所有這類軟體 前提是你之後要用全新的密碼重新設定手機，而不是從一個已遭入侵的備份還原。
Trasimène 能做什麼
Trasimène 的應用程式監控功能，會持續將已安裝的應用程式，與伺服器端不斷更新的已知監控軟體清單相互比對，並標示出那些洩漏破綻的權限組合 一個隱形的應用程式若同時具備無障礙功能、開機自動啟動與長駐背景活動，幾乎不可能有任何正當存在的理由。
我們坦白說清楚它的極限，因為這正是這個部落格的核心：沒有任何一款安全應用程式能看見一切。透過 Apple 或 Google 帳號憑證進行的監控，根本不會碰到手機本身 它顯現在帳號設定裡，而不會出現在掃描結果中。這正是本文帶你逐一了解兩種檢查、而不只是我們自動化的那一種的原因。
沒有理由活在草木皆兵的恐懼中：本文所描述的監控並非從天而降，它就來自你身邊，而且靠幾個簡單的習慣就能防範 一組只有你知道的密碼、一個鎖得嚴實的帳號、偶爾檢查一下應用程式的權限。如果有一天光靠技術層面已不足以應付，因為情況已超出手機本身的範疇，別忘了大多數國家都有可以求助的組織。這些檢查本身只要十分鐘。值得做一次 也值得隔一陣子再做一次。
- Kaspersky, "The State of Stalkerware in 2023", Securelist, 2024
- Coalition Against Stalkerware, "About", stopstalkerware.org
- Chatterjee, Doerfler, Orgad, Havron, Palmer, Freed, Levy, Dell, McCoy & Ristenpart, "The Spyware Used in Intimate Partner Violence", 2018 IEEE Symposium on Security and Privacy (SP)
- Marczak, Scott-Railton et al., Citizen Lab, "FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild", 2021
檢查你手機上的應用程式