上周帮我妈清旧手机。新机子是她自己挑的，大屏，字大，能顺畅打视频。旧的那台用了四年，本来要给我舅当备用机，我本来以为操作很简单——点恢复出厂，格式化内存卡，等进度条走完就完事。结果开修手机店的发小路过我家，拿起来看了一眼，说你这哪是清手机，你这是把手机里所有隐私摊在桌上，给路过的人随便翻。
我当时还笑他危言耸听，直到他当着我的面，插了个数据线，跑了个免费的恢复软件，二十分钟，把我妈三年前的医保缴费记录、存在相册里的身份证正反面、甚至我去年帮她转钱给我舅的转账截图，全导出来了。我当时后背的汗直接下来了。
你以为的“删干净”，其实是给小偷留了门
很多人对手机清数据的认知，还停留在十年前的功能机时代——把短信删了，把通讯录条目删了，把照片拖到回收站清空，就算万事大吉。根本没人提存储芯片的工作逻辑。那些你点了“删除”的文件，根本没有被真正抹掉，系统只是在文件目录里打了个“可覆盖”的标记，只要你没有用无关的大文件把整个存储分区写满一遍，这些标记过的内容，随时能被恢复出来。
我发小跟我说，他店里接过好多客户，卖旧手机之前就简单点个恢复出厂，结果过了大半年，接到诈骗电话，对方能准确说出他之前的工作单位、家庭住址，甚至他之前办过的手机号。根本不是什么黑客有通天的本事，就是收旧手机的人，把这些恢复出来的信息整理整理，按条卖，一条几毛钱，攒多了就是一笔不小的收入。
之前我还听过个更离谱的事，有人把坏了的旧笔记本卖去废品站，结果人家把他的硬盘拆下来，恢复了里面的客户资料，直接拿去跟原公司抢生意。说出来都可笑，你花几万块钱做的保密培训，还不如你卖旧设备之前多花十分钟，把硬盘全盘擦一遍来得实在。
哦对，还有高铁站、商场里那些不用密码的免费WiFi。我上次出差，刚出高铁站，手机就弹了个WiFi连接提示，名字跟官方的公共WiFi就差一个后缀，我手都点到连接按钮了，突然想起之前看的案例——这种仿冒WiFi，只要你一连，你手机里所有没加密的传输内容，人家坐在旁边的车里就能全看到。真的怕。没人会特意提醒你哪个是假的，你自己不留意，等你输了支付密码被转走钱，人家早就撤了。说实话，我现在连商家给的那种需要关注公众号才能连的WiFi都怕，谁知道它后台在记录什么。
比病毒更可怕的，是你主动递出去的权限
我之前帮我爸整理手机，翻到他装的那个天气预报APP，点进权限设置一看，我都愣了。通讯录、位置信息、麦克风、存储，全是“始终允许”。
我问他，你装个看天气的软件，要你麦克风干嘛？要你通讯录干嘛？
他挠头，说当时装的时候，弹出来一堆权限提示，他想着快点进APP看天气，就一路点“允许”，哪顾得上看每一条写的是什么。
好多公开的行业调研都提过，绝大多数的个人信息泄露，根本不是黑客千里迢迢突破防火墙偷的，是你自己在点“允许”的时候，把所有信息拱手送出去的。
这些APP拿到权限之后能干什么？爬你的通讯录，把你所有联系人的手机号导出来，打包卖给营销公司；开着你的麦克风，录你平时在家打电话的内容，分析你有没有最近装修、有没有给孩子报班、有没有打算买车，然后给你推精准的广告，甚至是诈骗信息。
我之前碰到过个更扯的，一个号称能算房贷的计算器APP，安装的时候要申请“读取应用列表”的权限。我当时都笑了，你一个算房贷的，我手机里装了什么APP，跟你有半毛钱关系？后来查了下监管部门的通报，这类APP的套路特别简单——先扫一遍你手机里装了什么，如果你装了银行APP、装了反诈中心APP，它就安安静静待在你手机里当一个普通计算器；如果你没装反诈APP，它就隔三差五给你弹虚假的中奖链接、贷款链接，就等着你点进去填信息。
很多人说，我手机里没有什么值得拿的东西，就算被拿了也没损失。这话真的错得离谱。黑产现在根本不是什么精英作战，都是流水线作业。你那点手机号、外卖地址、常去的公司名，打包成一份卖出去，几块钱都没人嫌便宜。人家拿着这些信息，一天打几百个诈骗电话，总有几个分辨不出来的老人、几个刚上大学的学生、几个忙着上班没顾得上核对的上班族，能被钓上钩。根本不是特意盯着你，就是广撒网，捞到谁算谁。
没人会因为你“没什么值钱的”就放过你
我之前有个同事，总说网络安全是那些大企业、搞技术的人才需要关心的事，他一个普通上班族，银行卡里连五位数都凑不齐，谁没事来偷他的信息。
结果去年他真的中招了。他所有平台的密码都是同一个，就是他的生日加手机号后六位。某次他在一个小的动漫论坛注册账号，那个论坛后来被人脱库了，所有用户名和密码都被放到了黑产网站上。人家的脚本拿着这组用户名密码，挨个去试各个平台的登录入口，试到他的视频网站会员的时候，发现能登，就直接把他的会员账号卖了。更离谱的是，脚本试到他常用的邮箱的时候，发现密码也对，就通过邮箱找回了他的外卖账号，从里面提走了他绑定的银行卡里的三百多块钱，买了几百块的礼品卡。
他当时跟我吐槽，说我这有什么好偷的，三百块钱至于吗？
至于啊。对黑产来说，这就是无本的买卖。脚本跑一天，能扫出来几千个这样的账号，就算只有十分之一能成功，一天赚的钱比普通上班族一个月工资还多。人家根本不需要费什么劲，你密码设得跟没设一样，那不是给人留门是什么？
说回我自己，经过上次清旧手机的事之后，我现在装APP的习惯都改了。但凡权限申请跟它本身的功能不沾边的，我直接就拒，拒了还不同意的，我直接卸载。上次朋友给我推个能修图的APP，要我读取通讯录权限，我直接就删了，我宁愿用手机自带的修图功能，也不想把我的通讯录给一个不知道背后是谁的APP。
出门在外连公共WiFi，我从来不用它登支付账号，哪怕它信号满格，不用密码，我宁愿耗自己的流量。一个月流量费也就几十块，总比哪天连个网，把银行卡里的钱弄没了强。
哦对，还有那个密码的事，我现在再也不用同一个密码走天下了。重要的账号，比如支付的、银行的，我就设那种带特殊字符的长密码，半年换一次；那些只是用来看看小说、追追免费剧的小网站，我就设个特别简单的密码，就算哪天漏了，也不心疼。
其实哪有那么多惊天动地的网络安全事件啊。大多时候，坑都藏在你觉得“无所谓”的小事里。你觉得删了就干净了，你觉得点个允许没什么，你觉得没人会盯上你这点破事。
上周我舅拿到那台清干净的旧手机，给我发微信说，这机子速度比之前快多了。我看着消息笑了笑，没好意思说，上次给他清手机的时候，我特意用那个恢复软件把整个存储分区写满了一遍老电影，确保所有之前的旧数据全被盖掉了。毕竟，有些坑，踩过一次就够了。
作者|科技
排版|科技
审核|见微