什么是间谍软件？识别监控迹象、保全证据与安全恢复指南

间谍软件是在没有适当告知或同意的情况下，收集你或设备信息的软件。它可能记录活动、位置、通信和其他私人数据。跟踪软件（stalkerware）是一类监控用途，可能涉及施暴伴侣，或能够接触手机的人；FTC 介绍的工具可能监视消息、通话、照片、位置等。［1］但并非每个隐私问题都意味着设备安装了监控应用。

他人也可能知道账号密码、保留登录会话，或通过原有位置共享接收信息。不同路径需要不同处理。如果改变设备可能提醒会伤害你的人，先用另一台可信设备寻求安全建议。安全的处理次序，可能比快速清理更重要。

关键要点

• 分清已安装间谍软件、未授权账号访问和不需要的信息共享，再选择措施。
• 耗电、发热、流量增加只是线索，不证明感染，更不证明是谁做的。
• 怀疑跟踪时，先评估安全并保存有用证据，再进行对方可能察觉的变动。
• 删除软件不能收回泄露信息，也不一定能结束所有账号会话。

间谍软件收集什么，又怎样进入设备？

收集范围取决于具体软件、权限和取得的访问能力。程序可能只收集浏览活动、通信或位置，并非同时执行所有监视功能。FTC 提醒，跟踪软件可能伪装名称、不容易被注意，接触过手机的人也可能安装它。［1］不能仅凭“间谍软件”这一标签，就断言应用能访问全部信息。

误导下载和捆绑安装也可能带来不需要的软件。电脑上，应调查可疑扩展、应用或恶意附件；手机上，应把已安装应用与账号、共享设置分开查看。应用名称熟悉，不表示它当前的权限和用途得到了授权。

商业监控工具在适当条件下可能有正规管理用途，但这不代表秘密使用可接受，也不能据此判断所有地区的法律责任。本文关注恢复你的控制和安全，不替个案作法律认定。

木马描述伪装投递，间谍软件描述收集信息。广告软件强调不需要的广告，rootkit可能隐藏活动，计算机蠕虫则涉及自行复制和传播。功能可以共存，但发现一种症状不能识别所有组件。

问题在设备上，还是在账号里？

先想一想对方似乎知道什么。位置可能来自共享安排、地图账号访问，也可能来自监控程序；邮件内容可能通过账号获取，不必是手机感染。寻求帮助之前，不需要先百分之百确定技术原因。

可能路径	有用证据	恢复任务
已安装监控软件	应用列表、检测记录、权限	先评估安全和保存证据，再处理设备
账号访问	陌生会话、恢复信息变动、登录提醒	用可信设备恢复账号并检查会话
位置或家庭共享	接收者和共享设置	安排安全的变更时间，考虑对方能否察觉
浏览器或电脑收集	扩展、近期安装、检测报告	检查具体组件，并使用可信防护扫描

这些路径并不互斥。删除应用后，账号可能仍对他人开放；更改密码后，设备也可能仍然失陷。恢复出厂设置是设备操作，不是把所有隐私风险一键归零。

需要更具体的手机排查，可参考手机可能被监视的线索。这里侧重手机和电脑都适用的恢复分流，避免把所有异常都变成监控指控。

哪些间谍软件症状有判断价值？

FTC 将异常耗电、流量和设备表现列为可能线索，也提到他人知道本不该知道的私密信息。［1］正常更新、信号差、正规定位服务和电池老化，也能造成相似表现。症状不能确定安装者或证明其意图。

观察	可以得出的结论	不应得出的结论
电池消耗增加或手机发热	资源使用变化值得检查	一定安装了间谍软件
他人知道私密位置	存在需要调查的信息路径	手机一定是唯一来源
安全工具标记应用	发现了可疑项目	删除后全部账号就安全了
账号出现陌生会话	可能有未授权访问	设备一定感染了软件
扫描未发现威胁	当前条件下没有检测结果	隐蔽访问绝不可能存在

记录事实：日期、提醒原文、相关设置和检测详情。不要反复用假信息试探可疑人物，再观察对方是否反应。在可能存在虐待的情况下，这类实验可能增加危险，也未必能确定技术原因。

若收到可信的定向商业间谍软件警告，应采用Pegasus 通知核验与专业响应路径，不能把普通扫描当成未感染的证明。

怎样安全安排间谍软件清除？

以下流程要按处境灵活使用：紧急人身风险优先于技术清理。单位管理的设备交由管理员处理，不擅自重置。没有安全的替代设备时，可向本地支持机构讨论其他办法，不要假设现有通信渠道一定私密。

1. 在明显变动之前评估人身安全。 可能有跟踪或虐待时，用对方接触不到的可信设备求助。FTC 提醒，删除软件或其他变动可能让施暴者察觉；其列出的家庭暴力资源适用于美国，其他地区应使用合适的本地服务。［1］“立即删除”不是普遍安全的指令。
2. 安全允许时保存有用证据。 在重置销毁记录前，保存观察、应用名、账号提醒和日期。支持人员或合格调查人员可以帮助判断哪些证据重要。不要把唯一副本放在对方能访问的账号，也不要为了完美日志耽误紧急求助。
3. 分别检查账号和共享访问。 从可信设备查看会话、恢复信息和接收者，把安全风险纳入变更安排。iOS 16 或更新系统的 iPhone，可使用 Apple Safety Check 检查或停止支持的共享与访问；它不是恶意软件扫描器。［3］具体控制项和可用性取决于配置。
4. 检查并处理受影响设备。 Android 可使用 Google Play Protect，查看检测和应用权限。［2］电脑使用已更新的可信防护，并检查近期安装和扩展。FTC 的一般恶意软件建议包括更新防护和扫描。［4］不要安装感染弹窗推销的清理工具。
5. 必要时升级求助或重新建立环境。 监控无法解释、检测再次出现，或设备不能恢复可信时，寻求合格帮助。新设备或恢复出厂设置可能是恢复的一部分。先保护必要数据，避免从备份恢复可疑应用；FTC 特别提醒，这可能重新安装跟踪软件。［1］
6. 独立恢复并核验。 从可信环境更改可能泄露的密码，启用多因素认证，检查恢复选项，并在可行时结束不需要的会话。只从可信来源安装必要应用。之后分别检查设备和账号访问，因为一个层面成功不证明另一个层面成功。

重置不能抹去别人已经收到的信息。如果私人消息、文件或位置历史可能被复制，可与合适的支持人员讨论后果。不要把一个看起来干净的页面，当成整个暴露已经结束的证明。

如何减少再次暴露？

更新系统和应用，使用可靠锁屏，保护重要账号。逐个判断应用为什么需要定位、麦克风、摄像头或无障碍访问，不要自动授予大量权限。权限意味着具备能力，不代表应用已经滥用能力。

实体接触和账号访问相关，却不是一回事。知道解锁码的人可能改变设备；知道账号密码的人无需碰手机，也可能获得信息。恢复计划应处理与你的情况真正相关的访问，包括适用时的恢复联系人和共享账号。

数字隐私指南可帮助组织长期检查。设备和账号恢复可信后，VPN 防范黑客的能力范围解释网络防护可以承担什么工作；它不能删除监控应用、改变位置接收者或撤销他人的账号会话。

总结

恢复要先判断可能的信息路径，以及改变它会带来的安全后果。适当时保全证据，分别处理账号与共享，再用可信工具或帮助扫描、重建设备。每一层都要核验，不把阴性扫描或重置当成监控全部结束的证明。

常见问题

所有间谍软件都是跟踪软件吗？

不是。间谍软件强调不需要的信息收集，跟踪软件强调个人对他人的监视用途。涉及虐待的人身安全风险需要特别处理，但不等同于每起间谍软件事件。

电池耗电就证明有人监控吗？

不能。普通应用、更新、弱信号和电池老化都可能导致耗电。应结合实际账号提醒、可疑软件和涉及的信息排查，耗电不能证明感染或攻击者身份。

不安装应用也能监视吗？

可以。账号访问或已有共享安排可能泄露信息，不必新增监控应用。分别检查这些路径，因为扫描设备不会撤销账号会话或改变共享权限。

怀疑监控应用就应该马上卸载吗？

不一定。如果施暴者可能注意到变动，先从可信设备寻求安全建议。在安全允许时保全证据；立即卸载可能惊动对方，也可能销毁后续求助需要的信息。

Apple Safety Check 能发现间谍软件吗？

不能。它帮助支持的 iPhone 检查或停止支持的共享和访问，不是杀毒扫描，也不能证明所有监控都不存在。应把它作为合适安全计划的一部分。

重置设备能消除所有隐私问题吗？

不能。重置可能帮助设备恢复，但账号访问、共享设置和已复制信息要另行处理。从备份恢复可疑应用，也可能破坏原本希望获得的安全环境。

VPN 能阻止手机上已有的间谍软件吗？

不能。程序可能直接在设备端收集信息，账号访问又是另一层问题。VPN 不会卸载应用或恢复账号，应先处理这些路径，再考虑网络防护。

免责声明: 本文提供一般安全判断方法，不代替对具体设备的诊断。受单位管理的设备应遵循所属组织的事件响应要求。

来源

1. Stalkerware: What To Know — https://consumer.ftc.gov/articles/stalkerware-what-know
2. Use Google Play Protect to help keep your apps safe & your data private — https://support.google.com/android/answer/2812853?hl=en
3. Safety Check for an iPhone with iOS 16 or later — https://support.apple.com/guide/personal-safety/safety-check-iphone-ios-16-ips2aad835e1/1.0/web/1.0
4. Malware: How To Protect Against, Detect, and Remove It — https://consumer.ftc.gov/articles/malware-how-protect-against-detect-and-remove-it

Sources checked 2026 年 10 月 5 日

延伸阅读

• 木马伪装与清除
• 广告软件与浏览器清理
• Rootkit 与系统可信性
• 计算机蠕虫与传播隔离