想查別人的通話記錄？谷歌商店里曾有28款應(yīng)用專門盯著這個需求。它們累計獲得730萬次下載，直到安全研究人員介入才被清理。這不是技術(shù)漏洞的故事，而是一個關(guān)于人性弱點的案例。

ESET安全團(tuán)隊近期披露了這一名為"CallPhantom"的詐騙集群。這些應(yīng)用的操作模式高度一致：用戶輸入目標(biāo)手機(jī)號，支付費用解鎖"通話記錄、短信歷史、WhatsApp通話清單"，最終收到的是隨機(jī)生成的假數(shù)據(jù)。部分應(yīng)用甚至內(nèi)置了姓名和通話詳情，直接匹配隨機(jī)號碼輸出；另一些則要求填寫郵箱，承諾將"調(diào)取結(jié)果"發(fā)送過去——當(dāng)然，什么都沒發(fā)生。

值得注意的是，這些應(yīng)用并未索取任何敏感權(quán)限。ESET確認(rèn)它們根本沒有訪問通信數(shù)據(jù)的技術(shù)能力，純粹是利用用戶的心理預(yù)期完成詐騙閉環(huán)。支付環(huán)節(jié)的設(shè)計更顯狡猾：部分應(yīng)用使用谷歌官方計費系統(tǒng)，受害者或許還能申請退款；另一些則誘導(dǎo)用戶跳轉(zhuǎn)第三方支付或直接填寫銀行卡信息，追蹤難度陡增。更惡劣的一款應(yīng)用在用戶試圖退出時，會彈出仿冒郵件通知的彈窗，謊稱"查詢結(jié)果已送達(dá)"，將人重新拉回訂閱頁面。

2024年12月16日，ESET向谷歌提交報告。截至報告發(fā)布，所有涉事應(yīng)用已被下架。但730萬次下載量揭示了一個尷尬現(xiàn)實：官方應(yīng)用商店的審核機(jī)制，對這類"需求驅(qū)動型"詐騙的識別存在明顯滯后。與側(cè)載應(yīng)用常被詬病的安全風(fēng)險相比，Play Store的"信任背書"反而成了詐騙者的放大器。

這類應(yīng)用的誘餌本身就在法律灰色地帶游走。它們不承諾更便宜的壁紙或更準(zhǔn)的天氣，而是兜售窺探他人隱私的能力。詐騙者精準(zhǔn)捕捉了這種隱秘需求，用技術(shù)不可能實現(xiàn)的功能換取真金白銀。用戶支付的不只是金錢，還有個人信息——郵箱、支付賬號，甚至銀行卡詳情。

谷歌商店的審核體系顯然未能前置攔截。這些應(yīng)用通過審核、積累數(shù)百萬下載、持續(xù)運(yùn)營數(shù)月，最終依靠外部安全研究而非內(nèi)部機(jī)制暴露。對于普通用戶而言，這構(gòu)成一個悖論：官方商店本應(yīng)更安全，但一旦詐騙應(yīng)用混入，其危害范圍反而更廣。730萬次下載中，究竟有多少人付費、多少人泄露信息、多少人成功追回?fù)p失，目前尚無公開數(shù)據(jù)。

事件留下幾個未解問題。谷歌是否會對受影響用戶進(jìn)行主動通知？第三方支付的資金流向能否追溯？審核機(jī)制將如何針對"功能欺詐"而非"惡意代碼"進(jìn)行優(yōu)化？ESET的報告未涉及這些后續(xù)，而谷歌方面的公開回應(yīng)同樣有限。

技術(shù)層面的防護(hù)建議相對明確：任何聲稱能調(diào)取他人私人通信數(shù)據(jù)的服務(wù)，無論包裝成應(yīng)用還是網(wǎng)頁，均屬不可能實現(xiàn)的承諾。通信數(shù)據(jù)的加密存儲和訪問權(quán)限控制，決定了這類功能在技術(shù)上不可行——除非持有目標(biāo)設(shè)備的物理控制權(quán)且知曉解鎖憑證。將這一技術(shù)常識轉(zhuǎn)化為用戶直覺，或許是比下架應(yīng)用更長期的挑戰(zhàn)。