她总觉得前男友在跟踪她，一查手机：一个没图标的App已上传数据5个月

有网友用 Claude Code 检查了妹妹的 Android 手机，发现一个叫“System Service”的隐藏应用。没有图标，不来自 Play Store，已安装 5 个月。它每 15 分钟把位置、消息和通话记录上传到荷兰的服务器。最近一次上传在 11 分钟前。

他的妹妹以为前男友只是敏感，直到这次检查。

操作过程不复杂：手机开启 USB 调试，连上 MacBook，运行 Claude Code。它找到了一个没有启动器图标的包，包名 com.sys.***.service，人工通过 APK 安装。也就是说，有人拿到过她解锁的手机，大约 2 分钟。这类应用只需要这么多时间。

它申请了以下权限：

• 无障碍服务（能读取屏幕上的一切）
• 通知读取（每条应用通知的预览）
• 设备管理员（无法通过常规方式卸载）
• 位置、麦克风、通话记录、短信

Google Play Protect 被关闭了。不是她关的。这是此类应用安装后的第一步。

这类事件不是个案。卡巴斯基统计，2023 年就有超过 31,000 人受到 stalkerware 影响。而这类软件的安装前提，往往是身边有人短暂拿到过你的手机。

当晚的处理：

1. 先截图保存所有证据，以便日后需要。
2. 撤销设备管理员权限，然后卸载该应用。
3. 重新开启 Play Protect 并运行完整扫描。
4. 用另一台手机更改 Google 密码及其他所有密码。
5. 设置新的锁屏 PIN，不告知任何人。

视频记录了手机连接电脑时的屏幕输出。

如果想自己检查：

• 到设置里查看所有应用，留意没有图标或名称可疑的项。
• 确认 Play Protect 开启，且“未知来源”安装是关闭状态。
• 如果手机曾短暂离开过你，别忽视。
• 发现可疑应用后，先取证，再用另一台设备改密码。

整个检查大约 3 分钟。她没哭，只是沉默了很久，然后问：“多久了？” 答案是 5 个月。

这个案例里，发现问题的是 Claude Code。但它的工作看似简单：按照指令，找到了一个不该存在的东西。真正让人不舒服的是：安装只需要 2 分钟，而发现用了 5 个月。技术能帮我们找到它，但很多时候已经太晚。