730萬人相信，花點(diǎn)小錢就能查看任何人的通話記錄。這不是陰謀論，是真實(shí)發(fā)生在Google Play商店的事。

安全公司ESET的研究人員花了數(shù)月時(shí)間，追蹤到一個(gè)名為CallPhantom的欺詐應(yīng)用家族——28款A(yù)ndroid應(yīng)用， collectively承諾用戶能窺探任意號(hào)碼的通話記錄、短信甚至WhatsApp歷史。輸入號(hào)碼，付費(fèi)， supposedly就能看到對(duì)方的秘密。實(shí)際上，用戶看到的是完全偽造的數(shù)據(jù)：隨機(jī)生成的電話號(hào)碼配上硬編碼的姓名和時(shí)間戳，由應(yīng)用自己生成，設(shè)計(jì)得剛好足夠逼真。

關(guān)鍵的設(shè)計(jì)在于付費(fèi)順序。用戶必須先交錢，才能看到這些"數(shù)據(jù)"。這不是疏忽，是核心商業(yè)模式。

28款應(yīng)用在Google Play商店存活了足夠長(zhǎng)的時(shí)間，累積了數(shù)百萬下載量。其中一款的開發(fā)者名稱叫"Indian gov.in"，暗示政府背景，實(shí)則毫無關(guān)聯(lián)。部分應(yīng)用的評(píng)論區(qū)里，被騙用戶的警告與大量可疑的五星級(jí)好評(píng)并存，維持著體面的評(píng)分。

ESET于2025年12月向Google報(bào)告了全部應(yīng)用，隨后被移除。但移除來自外部報(bào)告，而非平臺(tái)自身的檢測(cè)。對(duì)于一個(gè)在自動(dòng)化威脅檢測(cè)和App Defense Alliance框架上投入巨大的平臺(tái)來說，讓28款承諾同一技術(shù)上不可能實(shí)現(xiàn)的功能的詐騙變種累積數(shù)百萬下載，是一個(gè)顯著的漏洞。

部分應(yīng)用還繞過了Google的支付基礎(chǔ)設(shè)施，將用戶導(dǎo)向第三方UPI交易或應(yīng)用內(nèi)嵌的直接銀行卡輸入界面。這違反了Play商店政策，也意味著Google無法為這些用戶提供退款。任何通過非官方計(jì)費(fèi)系統(tǒng)付款的人，只能自行追討支付服務(wù)商或開發(fā)者——而后者顯然沒有幫助的動(dòng)力。

這個(gè)故事更不舒服的部分在于驅(qū)動(dòng)730萬下載的動(dòng)機(jī)。這些應(yīng)用不提供云存儲(chǔ)或照片編輯功能。它們提供的是人們足夠渴望、愿意付費(fèi)的東西：監(jiān)視他人的能力——伴侶、前任、青少年或商業(yè)聯(lián)系人。無論理由是什么，顯然存在一個(gè)龐大且愿意為此買單的受眾群體。

應(yīng)用們無情地利用了這種欲望，配以精心設(shè)計(jì)的界面和社交工程話術(shù)。但技術(shù)現(xiàn)實(shí)從未改變：運(yùn)營(yíng)商不會(huì)暴露這類數(shù)據(jù)，第三方開發(fā)者也沒有獲取權(quán)限。這是不可能的，不是灰色地帶，就是不可能。

730萬人中的大多數(shù)，可能至今不知道被騙了。他們付了錢，看到了看起來像真的東西，然后停止使用。少數(shù)人發(fā)現(xiàn)真相后留下評(píng)論，但被淹沒在虛假好評(píng)中。這是一個(gè)完美的信息不對(duì)稱陷阱：受害者分散、沉默、難以組織，而平臺(tái)從中抽成的機(jī)制，對(duì)繞開官方支付的行為缺乏有效攔截。

CallPhantom家族已被清除，但模板已經(jīng)驗(yàn)證成功。技術(shù)上不可能的承諾+情感驅(qū)動(dòng)的需求+先付費(fèi)后驗(yàn)貨的流程=數(shù)百萬美元。Google的檢測(cè)系統(tǒng)沒有識(shí)別出這個(gè)模式，直到外部研究人員介入。而730萬這個(gè)數(shù)字揭示的，不僅是平臺(tái)安全機(jī)制的缺口，還有一個(gè)不愿被承認(rèn)的市場(chǎng)：對(duì)監(jiān)視工具的隱秘需求，規(guī)模遠(yuǎn)超公開討論中的估計(jì)。