工信部提醒二手手机藏木马，运营者需警惕账号被控

10月29日，工信部反诈专班提醒，部分二手手机被提前植入恶意程序，可被远程操控发送短信、截取验证码、注册账号。对做多账号运营的人来说，设备风险可能直接传导至账号安全，需要更换采购和验机流程。

发生了什么

10月30日，IT之家报道了工信部反诈专班29日通过“信息通信行业反诈中心”公众号发布的一则提醒：有不法分子在部分二手手机流入市场前，预先植入恶意程序。消费者购买后一旦插入手机卡、连接网络，设备就可能在毫无察觉的情况下被远程操控，用来发送短信、截取验证码、注册互联网账号，并利用这些账号实施诈骗。

研究发现，这类涉案二手手机往往经过BootLoader解锁、系统固件篡改、ROM级木马植入等操作。外观和基本功能看似正常，但恶意程序藏在系统分区或伪装成系统组件，普通用户难以发现和卸载，即使恢复出厂设置，也无法保证彻底清除。

工信部提醒，用户应尽量选择品牌官方渠道或信誉良好的二手交易平台，购买能提供官方验机报告的设备，并保留购买凭证。如发现异常，建议送至官方售后进行检测，必要时重新刷入官方原版系统。

关键事实

• 工信部反诈专班29日发文介绍，不法分子在部分二手手机流入市场前预先植入恶意程序，远程操控设备发送短信、截取验证码、注册互联网账号。
• 涉案二手手机往往经过BootLoader解锁、系统固件篡改、ROM级木马植入，恶意程序藏在系统分区或伪装成系统组件，恢复出厂设置也无法保证彻底清除。
• 木马能在深夜等不易察觉时间远程控制手机发送短信、接收验证码、注册账号，并删除相关记录，长期潜伏。
• 如果设备出现“unlocked”或“设备已解锁”等提示，代表手机可能存在篡改风险；已被植入恶意程序时，恢复出厂设置也无法保证清除。
• 出现不知情短信发送记录、话费或流量异常增加、自动下载未知App等异常，应及时断网、保留记录并联系公安机关报案。

我们的分析

对运营者而言，这件事的特殊之处在于风险链条变了。过去买二手手机主要担心电池老化、硬件瑕疵或个人数据残留；现在设备可能在系统层面被提前改造，恶意程序能直接读取短信和验证码。验证码是很多社媒、支付和交易所账号的关键凭证，一旦被截取，攻击者可能绕过机主的二次验证，登录或接管账号。这对用二手手机做账号矩阵、客户沟通或内容发布的人冲击更直接：设备本身可能成为账号泄露的入口。

原文提到“恢复出厂设置也无法保证彻底清除”，这一点需要重点留意。很多运营者拿到二手设备后习惯先恢复出厂设置再投入使用，但如果木马已经写入系统分区，这一操作可能无效。工信部建议必要时重新刷入官方原版系统，意味着普通清理动作可能不足够。

从黑产手法看，木马会删除相关记录、长期潜伏，说明攻击者更倾向于持续利用设备而不是一次性作案。这可能让账号异常表现较为隐蔽，运营者不一定马上察觉，等发现时账号可能已经被用于注册、发送信息或触发平台风控。

对运营者意味着什么

• 采购二手设备时，优先走品牌官方渠道或信誉良好的二手平台，要求提供官方验机报告并保留购买凭证；不做无凭证的个人交易。
• 拿到设备后先检查开机提示是否出现“unlocked”或“设备已解锁”。如果有，先不要登录任何运营账号，送官方售后检测或重新刷入官方原版系统。
• 将验证码接收与日常运营设备尽量分离，关键账号绑定独立的验证方式，避免把短信验证码集中在同一台二手手机上。
• 定期自查异常信号：不知情短信发送记录、话费或流量异常增加、自动下载未知App。出现后及时断网、保留记录并联系公安机关，必要时通过运营商官方App或人工客服查询。