想查別人的通話記錄？谷歌商店里曾有28款應(yīng)用專門盯著這個(gè)需求。它們累計(jì)獲得730萬次下載，直到安全研究人員介入才被清理。這不是技術(shù)漏洞的故事，而是一個(gè)關(guān)于人性弱點(diǎn)的案例。

ESET安全團(tuán)隊(duì)近期披露了這一名為"CallPhantom"的詐騙集群。這些應(yīng)用的操作模式高度一致：用戶輸入目標(biāo)手機(jī)號(hào)，支付費(fèi)用解鎖"通話記錄、短信歷史、WhatsApp通話清單"，最終收到的是隨機(jī)生成的假數(shù)據(jù)。部分應(yīng)用甚至內(nèi)置了姓名和通話詳情，直接匹配隨機(jī)號(hào)碼輸出；另一些則要求填寫郵箱，承諾將"調(diào)取結(jié)果"發(fā)送過去——當(dāng)然，什么都沒發(fā)生。

值得注意的是，這些應(yīng)用并未索取任何敏感權(quán)限。ESET確認(rèn)它們根本沒有訪問通信數(shù)據(jù)的技術(shù)能力，純粹是利用用戶的心理預(yù)期完成詐騙閉環(huán)。支付環(huán)節(jié)的設(shè)計(jì)更顯狡猾：部分應(yīng)用使用谷歌官方計(jì)費(fèi)系統(tǒng)，受害者或許還能申請(qǐng)退款；另一些則誘導(dǎo)用戶跳轉(zhuǎn)第三方支付或直接填寫銀行卡信息，追蹤難度陡增。更惡劣的一款應(yīng)用在用戶試圖退出時(shí)，會(huì)彈出仿冒郵件通知的彈窗，謊稱"查詢結(jié)果已送達(dá)"，將人重新拉回訂閱頁面。

2024年12月16日，ESET向谷歌提交報(bào)告。截至報(bào)告發(fā)布，所有涉事應(yīng)用已被下架。但730萬次下載量揭示了一個(gè)尷尬現(xiàn)實(shí)：官方應(yīng)用商店的審核機(jī)制，對(duì)這類"需求驅(qū)動(dòng)型"詐騙的識(shí)別存在明顯滯后。與側(cè)載應(yīng)用常被詬病的安全風(fēng)險(xiǎn)相比，Play Store的"信任背書"反而成了詐騙者的放大器。

這類應(yīng)用的誘餌本身就在法律灰色地帶游走。它們不承諾更便宜的壁紙或更準(zhǔn)的天氣，而是兜售窺探他人隱私的能力。詐騙者精準(zhǔn)捕捉了這種隱秘需求，用技術(shù)不可能實(shí)現(xiàn)的功能換取真金白銀。用戶支付的不只是金錢，還有個(gè)人信息——郵箱、支付賬號(hào)，甚至銀行卡詳情。

谷歌商店的審核體系顯然未能前置攔截。這些應(yīng)用通過審核、積累數(shù)百萬下載、持續(xù)運(yùn)營(yíng)數(shù)月，最終依靠外部安全研究而非內(nèi)部機(jī)制暴露。對(duì)于普通用戶而言，這構(gòu)成一個(gè)悖論：官方商店本應(yīng)更安全，但一旦詐騙應(yīng)用混入，其危害范圍反而更廣。730萬次下載中，究竟有多少人付費(fèi)、多少人泄露信息、多少人成功追回?fù)p失，目前尚無公開數(shù)據(jù)。

事件留下幾個(gè)未解問題。谷歌是否會(huì)對(duì)受影響用戶進(jìn)行主動(dòng)通知？第三方支付的資金流向能否追溯？審核機(jī)制將如何針對(duì)"功能欺詐"而非"惡意代碼"進(jìn)行優(yōu)化？ESET的報(bào)告未涉及這些后續(xù)，而谷歌方面的公開回應(yīng)同樣有限。

技術(shù)層面的防護(hù)建議相對(duì)明確：任何聲稱能調(diào)取他人私人通信數(shù)據(jù)的服務(wù)，無論包裝成應(yīng)用還是網(wǎng)頁，均屬不可能實(shí)現(xiàn)的承諾。通信數(shù)據(jù)的加密存儲(chǔ)和訪問權(quán)限控制，決定了這類功能在技術(shù)上不可行——除非持有目標(biāo)設(shè)備的物理控制權(quán)且知曉解鎖憑證。將這一技術(shù)常識(shí)轉(zhuǎn)化為用戶直覺，或許是比下架應(yīng)用更長(zhǎng)期的挑戰(zhàn)。