那台天天替你收验证码的手机，可能早就被人看光了：监视类应用的排查与断链

很多账户被盗的复盘里都有同一个细节：验证码明明只发到了自己手机上，却还是被人用了出去。能把验证码「搬运」走的，往往不是短信转发那种老套路，而是一个安安静静装在手机里的监视类应用——家人定位、情侣查岗、员工监管、远控协助，都可能顺手或刻意地干着同一件事：把你屏幕上出现的一切，同步给另一个终端。

先分清三类东西，它们的入口不一样

第一类是对方趁你不注意装上的：借你的手机「查个导航」的十分钟，或是一台代充话费、代登录账号的「工作备用机」。第二类是你自己动手装的：查岗类软件通常要求被装方主动同意，很多人是在关系压力下亲手装了它，还亲手给了最高权限。第三类是随其他软件混进来的木马：破解版游戏、绿色版工具、来路不明的「抢单插件」是常见载体。三类来源不同，但落点相同——都需要读通知、读短信，最好再能读屏幕，而这正好覆盖了账户安全里最敏感的两样东西：验证码和登录状态。

排查动作：安卓和苹果各查哪里

安卓端先翻三处系统设置。一是无障碍与已安装辅助功能：正经软件很少需要这项权限，列表里出现说不来用途的条目就是重大信号；二是设备管理员（部分机型叫设备管理应用或高级权限），能强制锁屏、抹数据的授权对象必须每一个都认识；三是应用权限总览里的通知读取、短信与通话记录三项，按「谁在读我的验证码」的思路逐个核对。接着看两个间接症状：电量掉得比往常快、移动流量在待机时段也有明细——持续上传屏幕或截屏的进程很难完全隐身。再翻一次最近安装记录与安装包残留，特别是「已卸载」列表里那些你想不起为何安装过的名字。

苹果端的关键入口是「隐私与安全性」里的设备管理与配置描述文件：正常个人手机这里应当接近空白，出现描述文件就要追问它是谁、什么时候、以什么理由装的。同时核对 Apple ID 登录设备列表、iCloud 屏幕镜像类共享会话是否处于别人可回看的状态；开启了整机云备份的旧设备，也要按「备份里存过什么」重新估一遍暴露面。

两端共用一条经验：确认进程级监视很难靠肉眼完成，怀疑程度高时，正确动作不是继续找证据，而是直接按失陷处理。

确认中招后的断链顺序

顺序错了，删软件只是打草惊蛇。第一步，把资产从这台设备上撤离：交易所 App 从可信设备登出并修改登录密码，钱包把大额资产转移到这台设备从未接触过的钱包，提币白名单与防钓鱼验证类设置全部重做——记住这条铁律：只要监视通道还活着，在这台设备上做的任何「修改密码」动作都会被同步看到。第二步，换凭证按依赖顺序来：先接管登录邮箱（它管着所有密码重置），再换交易所与各平台密码，最后处理验证器——如果验证码曾被同步读取，那么所有只靠短信码保护的账户都要按半失陷重设。第三步，才是清设备：能恢复出厂的恢复出厂并只从官方渠道恢复必要数据；确认是木马类载体的，重刷系统之前先取证留存安装记录截图，供后续申诉或报案使用。第四步，检查这台设备上曾登录过的全部会话：邮箱授权应用、即时通讯网页端、第三方登录授权，逐处撤销。

两条边界

其一，这类排查只谈防御：合法的设备管理功能与监视滥用用的是同一套系统权限，识别依据是「知情与同意」——设备持有人是否知道它的存在。其二，任何声称「帮你反查谁在监控你」的付费服务都不要信，它本身就是把怀疑变成二次收割的入口；能帮你的是系统设置、官方安全团队和必要的报案渠道。本文只提供设备侧的识别与止损方法，不构成任何投资建议；各机型菜单名称以系统当前版本官方说明为准。