730萬次下載的騙局：28款假通話記錄App如何掏空用戶錢包

一個(gè)人能好奇到什么程度？答案是：愿意為"查誰給某個(gè)號(hào)碼打過電話"支付80美元。

Google Play最近下架了28款名為CallPhantom的Android應(yīng)用，累計(jì)下載量超過730萬次。這些應(yīng)用的核心功能只有一個(gè)——承諾讓用戶查詢?nèi)我馐謾C(jī)號(hào)碼的通話記錄。聽起來像是數(shù)字時(shí)代的私家偵探工具，實(shí)際上是一場(chǎng)精心設(shè)計(jì)的空手套白狼。

WeLiveSecurity的研究人員發(fā)現(xiàn)，整個(gè)騙局建立在人性弱點(diǎn)之上。用戶輸入目標(biāo)號(hào)碼后，應(yīng)用會(huì)立即展示看似真實(shí)的部分結(jié)果：幾個(gè)聯(lián)系人姓名、幾組時(shí)間戳，營(yíng)造出"數(shù)據(jù)正在加載"的錯(cuò)覺。下一步永遠(yuǎn)是付費(fèi)解鎖完整記錄。問題在于，這些"部分結(jié)果"從一開始就是硬編碼的隨機(jī)數(shù)據(jù)，根本不存在所謂的完整版。

這28款應(yīng)用主要針對(duì)印度及亞太地區(qū)的Android用戶。許多應(yīng)用預(yù)選了印度國(guó)家代碼，并支持UPI——印度最流行的移動(dòng)支付系統(tǒng)。諷刺的是，部分應(yīng)用甚至在Play Store截圖中展示了偽造的通話記錄界面，作為"真實(shí)有效"的證據(jù)。

技術(shù)層面，CallPhantom分為兩類。第一類將姓名、國(guó)家代碼和通話模板直接寫死在代碼里，搭配隨機(jī)生成的電話號(hào)碼組成"半成品"結(jié)果。第二類要求用戶輸入郵箱地址，聲稱查詢結(jié)果將發(fā)送至該郵箱。實(shí)際上，支付前沒有任何數(shù)據(jù)生成，支付后也不會(huì)發(fā)送任何真實(shí)內(nèi)容。這些應(yīng)用從未具備訪問通話記錄、短信或WhatsApp數(shù)據(jù)的技術(shù)能力。

支付渠道的設(shè)計(jì)暴露了運(yùn)營(yíng)者的真實(shí)意圖。部分應(yīng)用使用Google Play官方計(jì)費(fèi)系統(tǒng)，但更多應(yīng)用將用戶導(dǎo)向第三方UPI應(yīng)用——支付信息要么硬編碼，要么從Firebase實(shí)時(shí)數(shù)據(jù)庫(kù)動(dòng)態(tài)獲取，運(yùn)營(yíng)者可隨時(shí)更換收款賬戶。第三種方式最為激進(jìn)：直接在應(yīng)用內(nèi)嵌入銀行卡支付表單，既違反Google Play政策，也讓退款變得異常困難。

最刻意的策略是引導(dǎo)用戶選擇Google無法撤銷的支付渠道。一旦資金通過第三方UPI或直接卡付流出，追回的可能性微乎其微。730萬次下載背后，是無數(shù)筆從幾美元到80美元不等的訂閱費(fèi)，流向一個(gè)從未存在的"服務(wù)"。