手機惡意APP飆升5倍！專家警告：4類APP要警戒 隨時被盜用個人資料

在香港，香港網絡安全事故協調中心調查顯示 2024 年已處理超過一萬二千宗保安事故，其中超過六成為網絡釣魚，惡意軟件個案更按年飆升近五倍，當中不少是偽裝成正常手機應用程式，誘騙市民安裝。

「亂裝 APP」會害被盜資料的原因

許多看似普通的 APP，只要取得過度權限，就足以拼出一份完整的「數位側寫」，包括你的身分、親友關係、日常習慣與財務行為。國際事件調查報告指出，資料外洩事件中，有相當比例是攻擊者先透過惡意或脆弱 APP 取得裝置控制權，再入侵到其他帳號與服務。

另外，Jamf 《2025Security 360：​行動​裝置​年度​趨勢​報告》亦提到手機和平板已成為企業與個人生活交會的節點，裝在手機上的 APP，常同時掌握工作郵件、雲端和社交媒體帳號，一旦其中某款 APP 被攻陷，連帶影響範圍遠超過單一裝置本身。

4類APP該警惕

雖然無法直接單一列出所有惡意程式，但專家將風險最高的 APP 歸納為以下四個常見類別：

1. 免費或來路不明的工具APP（手電筒、量測、清理加速等）

【示意圖】

點擊圖片放大

國際行動應用安全風險報告顯示，大量免費工具 APP（如手電筒、清理加速、假量測健康數據等）被檢測出存在中高風險漏洞，甚至隱私違規收集行為。

這些 APP 經常要求與功能無關的權限，例如通訊錄、簡訊、精準定位甚至麥克風，部分還內建惡意廣告 SDK，在背景持續傳回使用者資料，或導流到釣魚網站，增加中毒與詐騙風險。

事實上，Android與iOS本身已內建手電筒與基本系統管理功能，專家普遍建議減少安裝第三方「清理/加速」APP，如有異常耗電、狂跳廣告或權限怪異，宜直接移除。

2. 標榜「免費」的 VPN、影片下載器與破解工具

全球威脅情資報告指出，很多免費 VPN 其實會記錄流量、注入廣告甚至夾帶惡意模組，成為流量監控與竊取憑證的工具，而不是保護隱私。welivesecurity亦都提到，黑客會使用虛假VPN竊取用家的聯絡人、簡訊、錄音通話、甚至包括Signal、Viber和Telegram等應用程式的聊天記錄。

影片下載器、破解版遊戲與 MOD 工具也常被點名為惡意程式的高風險來源，因為它們多從非官方來源下載，缺乏安全審查，容易被植入木馬或資訊竊取程式，用來偷登入帳號、銀行憑證或一次性驗證碼（OTP）。

3. 山寨版、釣魚版的APP

在全球多起事件案例中，黑客會打造「看起來幾乎一樣」的山寨 APP，冒充銀行、社交平台或熱門工具，讓使用者在假介面輸入帳密與金融資料。而香港 HKCERT 分析近期個案後指出，假冒開源應用程式和偽裝 APP 已成為常見感染途徑之一，提醒市民下載程式時不可只看名稱與圖示。

4. 虛假或仿冒的「加密貨幣」及「金融理財」APP

這類APP通常聲稱提供高回報的加密貨幣交易、投資工具或貸款服務。它們會透過偽造的介面誘騙用戶輸入重要的金融資訊，例如銀行帳號、密碼，甚至是加密貨幣錢包的助記詞或私鑰。Kaspersky亦曾發現有案例，會將惡意程式碼植入看似正常的金融或區塊鏈相關 APP 中，掃描並竊取用戶相簿或敏感資料。

手機有問題時的自我檢查與處理

當懷疑自己手機被入侵時，專家建議，先查看哪個APP的數據用量異常高、哪個APP的電池耗電特別多，以及帳單中是否出現莫名費用、小額支付或訂閱費用，這些都可能是惡意APP的跡象。

若懷疑中毒或安裝到惡意APP，光刪除圖標可能不夠，部分惡意程式會複製隱藏檔案，建議先備份重要資料後，將手機恢復原廠設定，並重新設定帳戶與密碼，啟用多重認證。

安全使用APP的專家建議

只從官方應用程式商店下載APP，仔細看開發者名稱與評價，避免點開訊息或網絡上的不明下載連結或「更新瀏覽器APK」。

香港 InfoSec 強調，安裝前評估權限必要性，並確保 APP 使用 HTTPS 加密資料傳輸。遇到與功能不相干的敏感權限就拒絕或改用其他APP，並定期清查手機上不再使用或來源不明的APP，以降低被竊資與詐騙風險。

資料來源：香港 InfoSec、HKCERT 、全球威脅情資報告、香港網絡安全事故協調中心調查顯示、Jamf 《2025Security 360：​行動​裝置​年度​趨勢​報告》、Kaspersky

注：以上資料只供參考，如有疑問建議資訊專業人士。