我差点把手机交出去，你以为是活动，其实是“收割入口”：先做这件事再说；先做这件事再说
前几天在商场里，有人热情地说“扫码领礼品”、“帮你试玩一下才有机会抽奖”，我顺手把手机递过去，差点就交出去了。细想一圈才反应过来：这可能不是公益活动，而是个“收割入口”——让你把手机当作钥匙，主动把账户、验证码、甚至银行卡信息交出去。
遇到这种情况，别慌，但要有一套底线动作：先做这件事再说。下面把常见套路、可立即采取的防护操作和如果已经被“收割”后该怎么补救，一并讲清楚，拿来就用。
什么是“收割入口”？
- 通过借手机、引导扫码、让你安装或登录某个页面/应用，来获取你的账户授权、验证码或安装木马，从而盗取资金与信息。
- 常见形式：现场“扫码领奖”、临时借用手机充电并借机操作、假工作人员要求“帮忙登录”或输入短信验证码、QR码跳转恶意授权页面等。
先做这件事：把手机“锁定”给对方能做的那一项 如果确实有必要把手机交给别人（比如商家演示、维修短时操作），先把手机限制在对方需要的那个界面，防止切换和后台操作。两种最安全的做法：
1) iPhone — 启用“引导式访问”并开启
- 设置 → 辅助功能 → 引导式访问，开启并设置访问密码（或使用面容/指纹）。
- 打开你要给对方看的应用，三击侧边按键/主屏键启动引导式访问，必要时禁用触控或某些屏幕区域。
- 结束时三击并输入密码退出。
2) Android — 启用“屏幕固定”或使用“访客模式/游客账户”
- 屏幕固定：设置 → 安全或安全与位置信息 → 屏幕固定（具体路径随厂商略有不同）。打开要给对方的应用，进入最近任务，点“固定”图标。
- 访客模式：设置 → 用户或账户 → 添加访客。切换到访客账户，对方就看不到你的个人账户和应用。
- 小贴士：安卓有的机型还支持“安全模式”或厂商自带的“随身模式/隐私空间”，可以利用。
手上这三件事永远不要做
- 绝不把短信验证码或一次性密码（OTP）口头读给别人，也别在他人视线下输入密码。
- 不随意安装对方推荐的应用或点击不明链接。活动类二维码若要扫码，先确认链接域名并用独立浏览器打开，或让对方输入网址由你自己手动访问。
- 不用他人的充电线或不明公共充电口充电。使用自带数据线、移动电源或“只充电”数据阻断器（USB data blocker）。
快速检查清单：把手机给别人前的六步 1) 打开要展示的页面并启用屏幕固定/引导式访问或切换到访客账户； 2) 关闭或锁定钱包类、银行类、社交类应用的登录态（如不必要可先退出）； 3) 关闭通知预览（避免验证码等弹出被看到）； 4) 取出或锁定SIM卡（极端场景下），或至少设置SIM卡PIN码； 5) 保留在场并监督操作全程，不要让手机离开视线； 6) 拍照留证：必要时用另一部设备拍下对方证件和活动凭证。
如果已经被“收割”，先做这几件事来止损
- 立即更改被可能泄露的账号密码，优先修改邮箱、支付账号、社交账号的密码。
- 在相关服务（Google/Apple/微信/支付宝等）里查看并登出异常设备、撤销可疑第三方应用授权。
- 把银行卡、支付工具设置成临时冻结或联系银行客服查询并上报可疑交易；必要时申请卡片冻结或重置。
- 打开并检查“查找我的设备”类服务，确认设备状态并远程擦除（如果存在风险）。
- 把SIM卡运营商叫来，设置防止SIM被移植（要求加装口令或防止跨号迁移）。
- 保留证据：聊天记录、支付截图、对方信息，必要时报警并向平台投诉。
日常里还能做什么来降低风险
- 把重要账号都绑定多因素认证（优先使用验证器App或硬件密钥，尽量避免只用短信OTP）。
- 定期检查账号的登录记录和第三方授权，及时撤销不需要的权限。
- 习惯把常用账户分级：高风险账户（银行/支付/邮箱）尽量只在可信设备登录。
- 学会识别社交工程套路：夸张的奖励、催促你“马上操作”、要求你交出控制权，这些都是警报。
结尾一句话 活动真有可能，但“活动”要你交出手机、验证码或安装软件的那一刻，别急着当场爽快答应——先锁定手机给对方能用的那一项再说。这样一套简单的防护动作，比事后补救更省心省力。
