鎖定鎖定模式、AirDrop 和藍牙以防禦目標間諜軟體¶

短距離無線協定（Apple AirDrop, NameDrop, Android Quick Share, Bluetooth Low Energy / BLE, 和 Apple Continuity / AWDL）和富媒體訊息解析器（iMessage, WhatsApp, 和 WebKit）專為輕鬆的零配置便利而設計。然而，這種便利性造成了兩種不同的緊急情況。首先，在地鐵車廂、飛機、演講廳、抗議活動或體育場等公共場所，陌生人可以透過AirDrop / Quick Share（「網路閃爍」）將未經請求的圖形圖像發送到您的螢幕上，透過iOS NameDrop意外觸發聯絡人交換，或使用無休止的配對彈出視窗凍結您的手機螢幕。 $170 Flipper Zero / ESP32 低功耗藍牙 (BLE) 廣告氾濫。其次，對於調查記者、人權律師、高階主管、外交官、政治異議人士或高淨值目標來說，商業僱傭間諜軟體（Pegasus, Predator, Reign, Graphite）利用 iMessage、FaceTime、WebKit 或蜂窩基帶內的 零點擊漏洞 悄悄地危害智慧型手機，而受害者無需點擊任何連結。

如果您在公共交通或飛機機艙內面臨直接的人身危險或面臨非法的當面騷擾，請移至交通工作人員或機組人員附近的安全區域，並撥打當地的緊急電話號碼（911 在美國和加拿大， 112 整個歐盟， 999 在英國）或查閱我們的國際名錄 緊急號碼。請按照以下步驟在 5 秒內關閉未經請求的無線丟棄，停止 BLE 彈出視窗氾濫，並啟動 Apple 鎖定模式 或 Android 進階保護 以防止零點擊攻擊。

現在就這樣做¶

1. **如果您目前在火車、飛機或人群中收到未經請求的 AirDrop 照片、Android 快速共享文件或不間斷的藍牙配對彈出窗口，請向下滑動控制中心/快速設置，然後關閉這兩項 AirDrop / Quick Share 和 Bluetooth 裡面主要的 Settings 應用程式（不僅僅是控制中心圖示）。 ** 點擊 Apple iOS 控制中心中的藍牙圖示只會在明天早上之前斷開目前配件的連接，同時保留低功耗藍牙 (BLE）控制器和 Apple Wireless Direct Link (AWDL) 無線電在後台活躍。要物理關閉藍牙無線電晶片以防止 Flipper Zero BLE 泛洪，您必須開啟 Settings -> Bluetooth -> Toggle OFF。
2. 切勿點擊 Accept 或者 Open 在未經請求的 AirDrop、快速共享或藍牙檔案傳輸上，並了解 Apple 的 AirDrop 預覽縮圖會在您點擊「接受」之前呈現。 ** 將 AirDrop 設定為 Receiving Off（或Contacts Only**) 在 Settings -> General -> AirDrop，然後設定 Android 快速分享 (Settings -> Connected devices -> Connection preferences -> Quick Share -> Who can share with you) 至 Contacts only 或 Off 因此您手機的縮圖解析器永遠不會處理來自陌生人的不受信任的檔案。
3. **停用 Bringing Devices Together （NameDrop) 在 Settings -> General -> AirDrop 如果您在擁擠的空間中攜帶 iPhone 或將其放在會議桌上。 ** 在 iOS 17+ 中引入， Bringing Devices Together 當兩部 iPhone 放在一起時，就會觸發聯絡人卡或 SharePlay 提示 2 centimeters (0.8 inches) 彼此的。正在關閉 Bringing Devices Together 完全停止接近碰撞觸發，同時仍允許在需要時進行手動 AirDrop。
4. **如果您收到官方 Apple Threat Notification 或者 Google Threat Analysis Group (TAG) 警告您的手機正成為國家資助/僱傭間諜軟體的目標（或者如果您是高風險記者、律師、持不同政見者或高管），請打開 Lockdown Mode 立即。 ** 在 iPhone、iPad 和 Mac 上，前往 Settings -> Privacy & Security -> Lockdown Mode -> Turn On Lockdown Mode -> Turn On & Restart。鎖定模式是一種極端的、硬體支援的防禦，可停用零點擊 iMessage 附件解析器、阻止 JIT JavaScript 編譯、丟棄未知的 FaceTime 通話、阻止 2G/3G 蜂巢基頻降級以及在手機鎖定時停用有線 USB 資料連線。
5. 如果您懷疑存在活動的零點擊內存駐留間諜軟體感染（Pegasus / Predator），立即重新啟動手機並捕獲 iOS sysdiagnose / 加密備份 MVT （Mobile Verification Toolkit）在恢復出廠設定前進行取證分析。 由於現代僱傭間諜軟體旨在避免被安全實驗室捕獲和逆向工程，因此許多變體嚴格駐留在易失性中RAM （隨機存取記憶體） 而非修改唯讀簽章作業系統分割區。將手機完全關閉然後重新打開會刷新易失性 RAM，迫使攻擊者燒錄一個全新的漏洞來重新感染您（一旦打開鎖定模式，該漏洞將被完全阻止）。
6. **如果您擔心的是家庭暴力、前伴侶或嫉妒的配偶閱讀您的短信，而不是價值百萬美元的政府情報機構，請首先遵循我們的國內跟踪軟體協議。 ** 超過 99% 的人際間諜活動使用共享的 iCloud/Google 憑證、WhatsApp 連結裝置或側載 Android .APK 追蹤軟體而不是零點擊漏洞（請參閱我們的完整指南 檢測手機上的追蹤軟體、間諜軟體和隱藏式訪問）。

flowchart TD
    A["智慧型手機/筆記型電腦上的無線入侵或間諜軟體危機"] --> B{"現在發生了什麼事？"}
    B -->|"未經請求的 AirDrop / 在人群中快速共享照片或文件彈出窗口"| C["立即點擊“拒絕”-> 開啟“設定”-> 將“隔空投送”/“快速共享”設定為“關閉接收”"]
    B -->|"不間斷 Apple TV / AirPods 彈出垃圾郵件凍結畫面（Flipper Zero BLE Flood）"| D["開啟主設定應用程式 -> 藍牙 -> 關閉（單獨控制中心切換不會停止 BLE）"]
    B -->|"收到 Apple/Google 僱用間諜軟體警報或高風險目標（記者、律師、高階主管）"| E["1. 立即重新啟動手機以清除 RAM 駐留的間諜軟體負載"]
    E --> F["2. 啟用 iOS/macOS 鎖定模式（設定 -> 隱私與安全 -> 鎖定模式）或 Android 15/16 進階保護"]
    F --> G["3. 如果受到主動攻擊，請停用 iMessage 和 FaceTime，並對加密備份執行 Amnesty MVT 取證檢查"]
    B -->|"涉嫌家庭/伴侶窺探簡訊或 GPS"| H["執行 iOS 安全性檢查/審核 WhatsApp 連結裝置和 Android 輔助功能（請參閱 Stalkerware 指南）"]

診斷矩陣：區分公共無線騷擾、BLE DoS 垃圾郵件和零點擊間諜軟體¶

當您的手機上出現奇怪的彈出視窗或您擔心公共場所的無線駭客攻擊時，請使用此技術矩陣來識別確切的威脅及其現實世界的能力：

階段 1：公開阻止 AirDrop、NameDrop、Quick Share 和 Flipper Zero BLE 攻擊¶

無論您是搭乘火車上下班、參加會議、搭乘商用客機還是走過抗議活動，都可以配置這四個無線開關，這樣無線電範圍內的陌生人就無法將單個彈出視窗或文件推送到您的螢幕上。

1. Apple iPhone、iPad 和 Mac（AirDrop, NameDrop, & Continuity 硬化）¶

1. 鎖定 AirDrop 和 NameDrop （Settings -> General -> AirDrop):
2. 選擇Receiving Off（或Contacts Only;請注意，即使 Apple 較新的預設設定也會將 「所有人」 轉換為 「所有人 10 分鐘」，之後它會自動恢復，但將其設為 Receiving Off是公共場合最安全的姿勢）。
3. 在同一螢幕的正下方，切換關閉 Bringing Devices Together（這會禁用 NameDrop 當有人將 iPhone 與您的 iPhone 碰撞時，鄰近 SharePlay 就會觸發）。
4. 向下捲動到 AirDrop 螢幕底部並切換 關閉 Use Cellular Data 因此，在您離開後，中斷的無線傳輸將永遠無法透過網路繼續。
5. 了解iOS上的「控制中心藍牙陷阱」：
6. 當您在 iPhone 或 iPad 上向下滑動 控制中心 並點擊 藍牙 或 Wi-Fi 圖示使其變為白色/灰色（顯示*「斷開藍牙裝置直到明天」*）時，**您的 iPhone 的藍牙和 Wi-Fi 無線電仍處於開啟狀態。 ** Apple 會在該狀態下讓它們保持開機狀態以運行 AirDrop, AirPlay, Apple Pencil, Apple Watch, Find My network, 和 Continuity Handoff。
7. 由於無線電仍在偵聽 Apple Continuity BLE 資料包，因此即使您在控制中心關閉藍牙，Flipper Zero BLE 垃圾郵件攻擊仍會充斥您的螢幕。
8. 如何實際關閉收音機： 開啟 設定 應用程式 -> 點擊 藍牙 -> 將主開關切換至 OFF（Gray) （或使用以下指令建立一鍵 iOS 捷徑 Set Bluetooth -> Turn Bluetooth Off 操作，真正關閉硬體無線電晶片的電源）。
9. 禁用未經請求的 AirPlay / Handoff & Auto-Join Hotspot 提示（Settings -> General -> AirPlay & Continuity):
10. 將 自動 AirPlay 設定為 Never（或Ask)，切換關閉 Handoff 穿越高風險環境時，在 設定 -> Wi-Fi -> 詢問加入網路/自動加入熱點下，將兩者皆設定為 Off 或 Ask 因此，惡意近距離無線電無法觸發後台握手。

2. 安卓智慧型手機（Quick Share / Nearby Share & Google Fast Pair 硬化）¶

Google 將 Nearby Share 和 Samsung Quick Share 合併為一個跨 Android 裝置的統一 Quick Share 系統： 1. 開啟 設定 -> 連接的裝置 -> 連接首選項 -> 快速共享（或在 Samsung Galaxy 上：設定 -> 連接的裝置 -> 快速共用）。 2. 點擊誰可以與你分享並將其從所有人更改為Contacts only（並關閉允許每個人 10 分鐘）或完全關閉快速共享。 3. 停止翻轉歸零 Google Fast Pair Android 上的耳塞垃圾郵件： 如果咖啡館或演講廳中有人廣播欺騙性的 Google Fast Pair 藍牙數據包（導致 Android 屏幕上彈出虛假 Pixel Buds / JBL 耳機圖像），請打開 設置 -> Google -> 所有服務 -> 設備和共享 -> 設備 並切換關閉** Scan for nearby devices。 4. 停用後台藍牙和 Wi-Fi 掃描（Settings -> Location -> Location services): 即使在 Android 上關閉藍牙，後台位置掃描仍然可以脈衝 BLE 無線電，除非您打開 設定 -> 位置 -> 位置服務 並切換 關閉 Bluetooth scanning 和 Wi-Fi scanning。

3. Windows 10 和 Windows 11 筆記型電腦 (Nearby Sharing & Swift Pair 硬化）¶

1. 開啟設定->系統->附近共享並選擇Off。
2. 開啟 設定 -> 藍牙和裝置 -> 裝置 並取消選取 Show notifications to connect using Swift Pair（阻止咖啡店和機場中的欺騙性藍牙外圍設備彈出視窗）。

第 2 階段：啟動並與 Apple 一起生活 Lockdown Mode （零點擊盾）¶

Apple 鎖定模式 在 iOS 16、iPadOS 16、macOS Ventura 中引入，並在 iOS 17/18+ 和 watchOS 10+ 中擴展，是消費者網路安全史上最重要的防禦工程成就之一。 公民實驗室（多倫多大學） 和 國際特赦組織安全實驗室 的獨立取證驗證已確認，在現實世界的目標上，啟用 鎖定模式 已多次阻止活躍、實時的活動 $1,000,000+ 零點擊 Pegasus （BLASTPASS / PWNYOURHOME）在野外利用嘗試，甚至在使用者螢幕上彈出即時警告通知："Lockdown Mode prevented an unknown contact from interacting with your device."

1. 什麼 Lockdown Mode iPhone、iPad 和 Mac 內部的實際變化¶

由於零點擊僱傭間諜軟體無法要求您點擊鏈接，因此它必須利用在後台自動運行的複雜的遺留代碼解析器（例如字體渲染引擎、iMessage 中的圖像/PDF 預覽器、WebKit Just-In-Time） JIT 編譯器或 2G 蜂巢基帶）。開啟鎖定模式可以透過8個硬體和軟體子系統徹底消除整個攻擊面：

2. 如何開啟 Lockdown Mode （以及如何將一個受信任的應用程式或網站列入白名單）¶

1. 在 iPhone 或 iPad 上： 開啟 設定 -> 隱私和安全性 -> 捲動到最底部並點擊 鎖定模式 -> 點擊 開啟鎖定模式 -> 閱讀摘要並點擊 開啟並重新啟動 -> 輸入您的裝置密碼。
2. 在 Mac 上（macOS Ventura / Sonoma / Sequoia+): 開啟 系統設定 -> 隱私和安全性 -> 捲動到底部並點擊 鎖定模式 -> 點擊 開啟... -> 點擊 開啟並重新啟動。
3. 如何將需要 JIT JavaScript 的單一受信任網站或應用程式列入白名單（無需關閉鎖定模式）： 如果某個特定的工作 Web 入口網站（例如 Figma 或銀行儀表板）因 JIT 或自訂圖示字體被封鎖而在 Safari 中中斷：
4. 在 Safari 中，點選 頁面設定 (AA 或拼圖/選單圖示） 在網址列 -> 點擊 網站設定 -> 切換 關閉 Enable Lockdown Mode 僅 該單一受信任網域。
5. 對於特定安裝的 iOS 應用程式：前往 設定 -> 隱私權和安全性 -> 鎖定模式 -> 設定網頁瀏覽 並僅排除該單一經過驗證的應用程式。

第三階段：安卓 Advanced Protection & 2G Cellular Disable 對於高風險用戶¶

如果您使用 Android 智慧型手機（尤其是 Google Pixel 8 / 9+ 或 Samsung Galaxy S23 / S24 / S25+），請立即啟用這些內建硬體和作業系統零點防禦：

1. 殺死 2G / GSM 基頻降級向量：
2. 開啟 設定 -> 網路和網際網路 -> SIM -> [您的電信業者] -> 向下捲動至 Allow 2G 並將其切換為 關閉（在 Samsung Galaxy 上：設定 -> 安全性和隱私 -> 自動封鎖程式 -> 最大限制）。
3. *為什麼這很重要：*假手機訊號塔（Stingrays / IMSI-catchers）和 SMS Blaster 貨車迫使附近的手機從加密的 5G/LTE 降到 1990 年代2G (GSM)，沒有相互塔驗證，允許攻擊者攔截短信代碼並注入基帶漏洞。
4. 打開三星 Auto Blocker & Maximum Restrictions （一個 UI 6+）：
5. 在 Samsung Galaxy 手機上，開啟 設定 -> 安全性和隱私 -> 自動攔截器 並將其切換為 開啟。這可以阻止 USB 電纜資料注入攻擊、阻止側面加載 .APK 文件，並啟動 Message Guard（一個隔離的零點擊沙箱，可在 Samsung Messages、Google Messages 和 WhatsApp 中捕獲惡意圖像文件，以免它們觸及系統記憶體）。
6. 打開 Memory Tagging Extension (MTE) 在 Google Pixel 8 / 9+ 上：
7. ARM v9 硬體 記憶體標記擴充 (MTE) 在 CPU 晶片層級即時偵測緩衝區溢位和釋放後使用記憶體損壞，在嘗試覆蓋相鄰記憶體位址的微秒內使零點擊漏洞崩潰。在 設定 -> 安全性和隱私 -> 更多安全性和隱私 -> 記憶體標記（或在開發人員選項/高級保護內）下啟用它。
8. 報名參加 Google Advanced Protection Program (APP):
9. 訪問https://landing.google.com/advancedprotection/ 若要使用強制 FIDO2 硬體金鑰/金鑰鎖定您的 Google 帳戶，請封鎖所有不受信任的第三方 OAuth 應用程式（請參閱 OAuth同意網路釣魚和撤銷惡意第三方應用程式權限），並強制執行深度 Play Protect 掃描。

第 4 階段：如何對僱傭間諜軟體進行取證檢查（Amnesty MVT & iVerify）¶

如果您是記者、活動人士、律師或高管，並且您收到了官方 Apple 威脅通知 電子郵件/iMessage（並且在登入時看到橫幅，該怎麼辦？ appleid.apple.com 或者 account.apple.com），或者您的手機表現出高級妥協的跡象（自發重啟、寒冷和閒置時電池電量極度耗盡，或者未知 IP 的數據使用量激增）？

使用國際特赦組織的逐步法醫分診 MVT （Mobile Verification Toolkit）¶

如果您需要證明是否存在，請不要**先簡單地擦拭手機 Pegasus, Predator, 或 Triangulation 存在，因為擦拭會破壞公民實驗室或國際特赦組織所需的法醫文物： 1. 重啟手機一次並開機 Lockdown Mode: 這會停止活躍的 RAM 駐留滲漏，同時保留磁碟上的診斷日誌 (Shutdown.log, DataUsage.sqlite, DiagnosticPipeline, WebKit 快取，以及 SMS.db 附件表）。 2. 安裝國際特赦組織的免費開源軟體 MVT （Mobile Verification Toolkit) 在乾淨的 Linux 或 macOS 電腦上：

# Install MVT via pipx or Python 3 venv on macOS or Linux:
pip3 install mvt

# Download the latest public Indicators of Compromise (STIX2 IoCs for Pegasus, Predator, Reign, etc.) from Amnesty's repository:
mvt-ios download-iocs

# 1. Create an encrypted local backup of the iPhone using libimobiledevice (or Finder) to a folder:
idevicebackup2 backup --full ~/Desktop/iphone_forensic_backup/

# 2. Decrypt the backup using your backup password and run MVT's full forensic check against known spyware IoCs:
mvt-ios decrypt-backup -p "YourBackupPassword" -d ~/Desktop/decrypted_backup/ ~/Desktop/iphone_forensic_backup/
mvt-ios check-backup --iocs ~/Library/Application\ Support/mvt/indicators/ -o ~/Desktop/mvt_results/ ~/Desktop/decrypted_backup/

常見問題¶

在 iPhone 控制中心關閉藍牙和 Wi-Fi 是否會阻止 Flipper Zero 彈出視窗或無線追蹤？¶

不會。向下滑動 iOS 控制中心並點擊 Wi-Fi 或藍牙按鈕只會將 iPhone 與當前 Wi-Fi 路由器或藍牙耳機斷開連接，直到第二天早上 05:00，同時保持 Wi-Fi (`AWDL`）和低功耗藍牙（`BLE`）無線電晶片在背景實體上電，以支援 AirDrop、AirPlay、Find My 和 Apple Watch 通訊。由於 BLE 無線電仍在監聽，同一房間內的 Flipper Zero BLE 廣告洪流將繼續在您的螢幕上彈出假冒的 AirPods/Apple TV 配對卡。若要完全關閉無線電電源，請開啟主**設定**應用程式並將**藍牙**和**Wi-Fi**切換為**關閉**。

如果火車或飛機上的陌生人主動向我發送 AirDrop 或快速共享照片，而我點擊“拒絕”，我的手機是否仍會感染病毒？¶

在任何現代、更新的 iPhone 或 Android 智慧型手機上，在 AirDrop 或快速共享傳輸上點擊 **拒絕** 會在文件保存到用戶存儲之前丟棄該文件，並且不會讓惡意軟體感染您的手機。但是，由於 AirDrop 在您點擊「拒絕」之前會在螢幕上呈現預覽縮圖（這就是「網路閃爍」騷擾的工作原理，也是圖像解析器成為高級研究人員的目標的原因），因此您永遠不應該將 AirDrop 設定為 *Everyone* 或將 QuickEveryone*。將 **AirDrop** 設定為 **`Receiving Off`**（或**`Contacts Only`**）因此陌生人甚至無法在您的螢幕上觸發預覽提示。

每個普通智慧型手機用戶都應該打開蘋果嗎 Lockdown Mode 每天？¶

大多數一般消費者不需要跑 `Lockdown Mode` 24/7 除非他們面臨有針對性的間諜活動的較高風險（例如記者、律師、高管、政治競選人員、活動人士、加密貨幣鯨魚或面臨異常技術對手的家庭暴力倖存者）或正在穿越高風險邊境或司法管轄區。然而，鎖定模式卻出乎意料地適合日常使用：您的電話、常規短信、WhatsApp/Signal 聊天、相機、地圖、Apple Pay 和 App Store 應用程式都可以繼續正常工作；鎖定時，您只會丟失自動 iMessage 鏈接預覽、未知 FaceTime 呼叫者和有線 USB 充電數據（並且您可以輕鬆排除任何需要快速信任

為什麼安全機構要求您「每天重新啟動手機」來防禦 Pegasus 和零點擊間諜軟體？¶

美國國家安全局 (NSA) 行動裝置最佳實踐和國際特赦組織安全實驗室都建議定期重新啟動智慧型手機，因為現代零點擊間諜軟體（`Pegasus`, `Predator`）花費數百萬美元開發並避免將永久文件寫入加密簽名 `/system` 啟動時完整性驗證所在的磁碟分割區（`Secure Boot` / `dm-verity`）會檢測到它。相反，在利用訊息或瀏覽器進程後，間諜軟體嚴格駐留在易失性 **RAM** 中。完全關閉手機然後重新打開會清除揮發性 RAM，破壞活動的植入物並迫使攻擊者通過觸發另一個零點擊漏洞來冒險檢測（如果您還打開 **鎖定模式** 或更新 iOS/Android，則完全失敗）。

相關指南¶

• 檢測手機上的追蹤軟體、間諜軟體和隱藏式訪問
• 公共 Wi-Fi、Evil Twin 熱點和 USB 劫持防禦
• 零日漏洞緊急修補和報廢設備隔離
• GPS 追蹤器和 AirTag 追蹤偵測
• 會話 cookie 劫持、資訊竊取惡意軟體和金鑰撤銷
• 全球緊急電話號碼

來源已檢查¶

• 國家安全局 (NSA) 和網路安全與基礎設施安全局 (CISA)（美國）：行動裝置最佳實踐和高風險個人行動通訊安全指南。
• Apple Inc.（國際）：Apple 平台安全指南（鎖定模式架構、iMessage BlastDoor 沙盒， AWDL /AirDrop 加密身分握手和威脅通知協定）。
• 公民實驗室（多倫多大學芒克全球事務與公共政策學院）（加拿大）：技術鑑識報告 FORCEDENTRY, BLASTPASS, PWNYOURHOME，以及 iOS 鎖定模式的實際驗證。
• 國際特赦組織安全實驗室（國際）：行動驗證工具包（MVT) 文件和檢測法醫方法 Pegasus 和 Predator 僱傭兵間諜軟體。
• Google 威脅分析小組 (TAG) 和 Android 安全工程（國際）：Android 記憶體標記擴充 (MTE), 2G 基頻禁用和商業監控供應商威脅報告。