凌晨一点十七分，朝阳区某小区卧室还亮着微光。林女士刚放下手机，眼皮都快黏上了——结果屏幕猛地一亮，弹出一条微信提示：“向未知账户转账998元”。她一激灵坐起来，再点两下：又来了，第三笔也到账了……可她压根没解锁，没按指纹，没抬脸，连锁屏都没划开。

打开网易新闻 查看精彩图片

这不是剧本，是2026年3月以来北京真实发生的18起案子之一。单笔最高亏5.8万元，18起加起来43.2万元。受害者从25岁的互联网运营，到50岁的中学语文老师，散落在朝阳、海淀、丰台等十多个街道。他们睡前干了同一件事：点开一个来路不明的链接，下载个叫“极速清理大师”或“高清图库Pro”的App，顺手点掉弹窗里那句“开启无障碍服务”——相当于亲手把家门钥匙塞进小偷手里。

就在这些案子陆续浮出水面时，国家计算机病毒应急处理中心联合McAfee、卡巴斯基，在2026年4月初拉响了最高级别警报：代号NoVoice的安卓木马，正全球疯传。感染设备超230万台，国内占比超35%。它悄悄混进谷歌Play商店50多款应用里，伪装成系统工具、休闲游戏甚至相册管理器，总下载量230万次。更扎心的是——它专挑老机型下手，超六成中招设备，系统已半年没更新，安卓10到14全版本无一幸免。梆梆安全《2025年移动应用安全风险报告》翻遍126122款安卓App，发现八成以上带中高危漏洞；而网信办等四部门2025年全年通报的违规收集信息App，数字从65款一路涨到70款，横跨金融、出行、娱乐、工具全领域。

你是不是也觉得，关掉免密支付就万事大吉？现实挺打脸的：微信、支付宝和各大银行App，默认都开着小额免密——单笔1000元、单日3000元，全程不用验证。而85%的“静默盗刷”，靠的就是你亲手交出去的四类权限：无障碍服务、短信读取、设备管理员、悬浮窗。这四样凑一块儿，等于给木马修了条直达银行卡的VIP专道。

兰州郭女士那晚被骗21600元，巡逻民警任世文一把拔出SIM卡、强制关机再重启，立刻切进飞行模式，银行账户同步冻结；绍兴张女士两张卡里1280万元眼看就要清零，民警一按飞行模式，远程操控当场断线；威远县林女士绑着60多万的银行卡，民警杨航拆卡+关机+重装系统，硬是从木马手里把手机抢了回来。杭州王女士那600万元，是在深圳一家黄金店柜台前被截住的，赃款还没捂热；长沙雨花区法院刚判完的AI换脸案里，20岁大学生吴某用静态照片骗过活体检测，三个月盗刷5万余元——这些事，都发生在2026年第一季度的日常里。

说真的，我们总以为黑客在敲代码，其实他们就在你点掉的每一个弹窗里。