我以为99tk图库只是随便看看，结果差点授权了敏感权限：验证码永远别外发
那天只是想找几张配图，随手打开了一个叫“99tk图库”的网页。界面干净、图片丰富，搜索也挺快。就在我准备下载一张图片时，页面弹出一个看似“优化体验”的提示：只需授权一次，就能“自动读取验证码”“快速登录”“无缝下载”。我差点点了“同意”。
幸好在点击之前停了一下，心里冒出一个念头：验证码是私密的。于是我仔细看了弹窗权限和请求的范围——不仅要求读取短信，还请求“访问通讯录”“后台运行”和“可见无障碍服务”。那一刻意识到，这不是单纯的图库插件，而是典型的钓鱼/权限滥用套路。
为什么验证码不能外发（也不要让任何应用读取）
- 验证码本质上是短期的身份验证凭证。一旦被窃取，攻击者就能以你身份登录账号。
- 某些恶意应用会请求读取短信（READSMS/RECEIVESMS）或开启“访问通知”/Accessibility 来截取验证码并自动转发。
- 即便是看起来无害的网站或插件，背后可能嵌入第三方脚本或SDK，偷偷调用敏感权限。
- 通过社会工程（例如冒充客服、中奖通知）诱导用户把验证码发给对方，攻击者便能接管账号或完成支付。
攻击者常用的手段（识别特征）
- 弹窗要求“授权读取验证码以完成操作”或“为了更好的体验请授权短信读取”。
- 要求打开无障碍服务或通知访问权限，说能“自动填充/加速下载”。
- 请求安装APK而非通过正规应用商店。
- 恶意链接来自短链接、可疑域名或通过社交媒体私信发送。
如果不小心授权或把验证码发出，应该怎么做
- 立即撤销权限：Android -> 设置 -> 应用 -> 对应应用 -> 权限，撤销短信/联系人/无障碍等权限；iPhone则在设置中检查应用权限。
- 解绑或删除可疑应用：卸载该应用，并清除相关缓存/数据。
- 修改重要账户密码：从可能受影响的账户开始（邮箱、社交、支付、云存储）。
- 断开所有会话并强制登出：很多服务提供“查看设备活动/强制登出所有设备”。
- 启用更安全的二步验证方式：使用独立的验证器（Google Authenticator、Authy）、硬件安全密钥（如YubiKey），优先避免仅靠短信验证。
- 联系银行或平台客服：若发生可疑资金变动或身份被盗用，及时说明情况并申请冻结或申诉。
- 检查手机是否被植入恶意软件：运行手机安全软件扫描，必要时备份重要数据并恢复出厂设置。
- 若怀疑SIM换卡攻击（SIM swap），联系运营商核查并加固账户保护口令。
平时如何自我保护（实用清单）
- 不向任何人发送验证码，不在聊天、评论或电话中外发短信验证码。
- 只在信任的官方渠道或应用商店下载安装应用。
- 对要求短信读取、无障碍服务或后台运行的应用保持高度警惕。
- 检查网站是否为HTTPS，留意域名拼写错误或子域诱导。
- 对“先授权再试用”类承诺持怀疑态度：很多合法服务不会要求读取短信做为首要条件。
- 使用密码管理器生成强密码，避免同一密码用于多个重要服务。
- 优先使用基于时间的一次性密码（TOTP）或硬件密钥替代短信验证。
结语／一句话建议 验证码是门票，不是分享的凭证。遇到要“读取验证码/转发验证码”的请求，果断拒绝并检查来源。