“杰夫·贝索斯”难题
很多年，我们都坚信一条朴素到近乎自恋的逻辑：我够聪明，所以我够安全。
我不会点“各种吸引人的”的邮件。 我不会下载什么“Free_Movie_Player.exe”。 朋友掉进钓鱼坑，我还会翻白眼：这都能信？
我曾经把网络安全当成智商测试，并且默认自己一直在及格线以上。
直到我读到杰夫·贝索斯。
2018 年，世界上最有钱的人——理论上也拥有最顶级安全团队的人——被黑了。
他没点任何坏链接。 他没泄露密码。 他只是从一个“认识的联系人”那里，在 WhatsApp 收到了一段视频文件。
更可怕的是：他甚至不用点开播放。手机“收到文件”的那一刻，游戏结束。大量私人数据被抽走，像抽血一样安静。
这就是“零点击（Zero-Click）”漏洞的恐怖现实。
我以前是朋友群里的“技术担当”。你知道那种人： 我会教育父母登录银行前一定要看 URL； 朋友信了“你中了大奖，送你免费 iPhone”，我会当场无语。
我以为自己刀枪不入，因为我遵守互联网黄金法则：不点可疑链接。
但规则变了。 而且——我也被黑过。
我去 Google 查，去 Reddit 问，把网上能读到的文章几乎都翻了一遍。然后我意识到：如果我们想更安全，就得换一种思路，找到更稳妥的方法。
下面是我整理出的细节。
1. 特洛伊木马式投递（iMessage & WhatsApp）
我们总把黑客入侵想象成“入室盗窃”：要撬锁、要砸窗。 但零点击攻击更像什么？更像有人寄来一封信——信一落到门口地垫上就爆炸。
最著名的例子之一，是 NSO Group 的“Pegasus（飞马）”间谍软件。
它大概怎么做到的？
现代通讯应用都追求“用户友好”。你收到链接或图片时，App 会立刻开始干活：解析数据，生成预览、缩略图、通知内容。
黑客就在这些“预览数据”里藏恶意代码。 当你的手机（iMessage/Android）尝试渲染图片以生成缩略图时——代码执行。
最吓人的部分在这里：
这发生在后台。 你可能在睡觉。你根本没有打开消息；但手机会自动处理这个“信封”，而这就足够把入侵者请进门。进来之后，他们能开麦克风、读你的加密聊天、追踪 GPS。
2. 咖啡店里的“邪恶双胞胎”
我们都爱免费 Wi-Fi。可你刚连上的“Cafe_Guest_WiFi”，可能就是陷阱。
网上大概 100 美元就能买到一种设备：Wi-Fi Pineapple。 外观看起来像普通路由器，但它天生就是为“中间人攻击（Man-in-the-Middle）”设计的。
运作机制：
设备是“花心”的。只要你的手机记住过一个叫“Starbucks”的网络，你打开 Wi-Fi 时，它会到处喊： “Starbucks 在吗？Starbucks 在吗？”
带着 Pineapple 的黑客可以让自己的设备回答： “在，我就是 Starbucks。”
因为黑客离你更近，信号往往更强，你的手机就更偏爱它。
你看到满格信号。你看到熟悉的网络名。 可从此以后，你输入的每一个密码、每一封邮件、每一次网银登录，都先经过黑客设备，再到互联网。
他们并没有“闯进来”。 是你亲手把钥匙递过去了。
3. 蓝牙后门
蓝牙是我们数字生活里沉默的英雄：手表、车载、耳机，全靠它。 但把蓝牙 24 小时常开，风险也在 24 小时常开。
有一类漏洞叫“BlueBorne”。它不像互联网病毒那样“走网络”，它更像“空气传播”。
如果黑客就坐在你附近——比如机场登机口，距离大约 30 英尺（约 9 米）内——他就可能通过蓝牙探测你的设备。因为蓝牙协议为了“发现与配对”，天生很“健谈”，会不断广播与询问。
成熟的攻击者甚至可以绕过“配对请求”界面，不让你看到任何弹窗，直接接管设备。
4. 人类漏洞（换卡劫持）
有时候，问题根本不在代码，而在客服。
在 SIM Swap 攻击里，黑客不需要碰你的手机。 他们给运营商（Verizon、T-Mobile 等）打电话，假装自己是你。再用从社交媒体扒来的信息（你的高中、你宠物的名字之类），说服客服： “我手机丢了，帮我激活一张新 SIM 卡吧。”
结果是什么？
你的手机突然没信号（No Service）。 黑客的手机却亮了——带着你的号码。
从此，当黑客重置你银行密码，银行说：“验证码已发送到你的手机号码。” 收到验证码的人不是你，是他。
这是一场认证失败，不是技术浪漫。 而它偏偏极其有效。
如何建立“零信任”防御
如果连杰夫·贝索斯都能中招，你真的能彻底挡住吗？
也许不能完全。 如果一个国家级对手盯上你的手机，他们总会找到办法。 但大多数人不是国家级目标，我们更多是“顺手的机会”。
你要做的，是把自己变得“很难搞”、很麻烦——麻烦到不值得被黑。
• “核按钮”式重启：每天重启一次手机。听起来像玄学，但对非持久化恶意软件（只驻留内存、不落盘）来说，重启往往能清掉它。你在逼黑客反复感染，而反复感染对他们来说更冒险。
• 杀掉预览：关闭自动下载与自动预览。去设置里（尤其是 WhatsApp 和 iMessage），关闭“自动下载媒体（Automatic Media Download）”。让手机在处理文件前先征得你同意，而不是默认替你“热心处理”。
• 硬件胜过短信：别再用短信做双重验证。SMS 2FA 是最薄弱的一环。改用验证器 App（Authy、Google Authenticator、Apple 的 Passwords），更理想的是用 YubiKey 这样的硬件密钥。
• “关掉没用的门”：不用蓝牙/Wi-Fi 就关掉。省电只是附赠，真正的价值是：你把暂时不用的入口直接封死。
最后
互联网以前是我们“去访问”的地方。 现在，我们是“住在里面”的。
住在一个地方，就要像现实世界一样：晚上要锁门。
你不需要变得疑神疑鬼。你只需要明白：“不点击”已经不够了。安全从来不是“做到完美”，而是“提前准备”。
信息来源：51CTO https://www.51cto.com/article/833987.html
