Android还是iPhone，哪个更安全？用数据看CVE、零日漏洞、exploit价格和补丁速度（2026）

一个可用的零点击（zero-click）iPhone exploit，如今漏洞经纪商的报价最高可达700万美元。同样的Android exploit – 最高500万美元。结案了，iPhone更安全？别急。2019年的情况恰恰相反：Zerodium为Android开价250万美元，为iOS开价200万美元，而它的老板解释说，市场上的iPhone exploit简直泛滥成灾。💥

“Michał，iPhone和Android哪个更安全？” – 这个问题我经常被问到。朋友问，客户问，正在给公司更换整批手机的老板们也问。我的回答永远一样：取决于你衡量的是什么。因为在这场争论里，人人都有观点，却很少有人拿得出数据。

所以我做了我最喜欢做的事：把硬数据集中到一个地方。漏洞数量（CVE）、在真实攻击中被利用的零日漏洞、修补速度、黑市上的exploit价格、黑客大赛成绩、恶意软件和钓鱼统计、漏洞赏金计划。此外我还简单梳理了两个系统的安全机制如何运作，以及真实攻击是如何绕过它们的 – 包括为什么一项为残障人士设计的功能，如今成了Android上窃贼最爱的工具。每个数字都有来源和日期（列表在文末）。最后是我的结论，以及7件每个人都该做的事，不管手机背后是什么logo。

目录

1. 比较之前：一个苹果对一整袋苹果
2. Android和iOS各有多少CVE？
3. 真实攻击中的零日漏洞：2025年有15个针对移动设备
4. 漏洞修补有多快？Apple vs Google
5. 入侵一部手机要花多少钱 – 黑市价目表与Pwn2Own
6. 安全团队有多大？漏洞赏金与应用商店的防线
7. 恶意软件与钓鱼：钱到底是在哪里丢的
8. Pegasus、Graphite之流：谁是目标
9. 城墙与后门：攻击如何绕过安全机制（以及为什么无障碍功能很危险）
10. 结论：评分表
11. 无论用哪个系统都该做的7件事
12. 常见问题（FAQ）

比较之前：一个苹果对一整袋苹果

先说一句公道话，没有它，整个比较都不公平。iPhone是一个厂商、一个系统、一个商店。而“Android”是Google的Pixel，是带着自家定制界面和自家安全公告的Samsung，是Xiaomi、Motorola，最后还有超市里七八百块钱的便宜手机 – 它收到的最后一次更新就是上市那天。所以我们其实是在拿一个苹果和一整袋新鲜程度各异的苹果做比较。

规模也不对称。全球范围内Android占69%的市场，iOS占31%（StatCounter，2026年9月）。在波兰两者更接近：Android 64%，iOS 36%。份额越大，对大规模犯罪的吸引力就越大 – 罪犯会把银行木马写给潜在受害者最多的平台。

还有支持周期，因为它决定了补丁到底能不能到你手上：

• Pixel 8及更新机型：7年系统和安全更新（Pixel 6/7：5年）。
• Samsung Galaxy S24/S25：7年。
• 更便宜的Android手机：取决于厂商和型号，通常明显短于旗舰机。购买前，先到厂商官网查一下承诺的更新年限。
• iPhone：Apple不承诺任何具体年限。但2026年9月14日发布的iOS 27仍然支持2019年的iPhone 11 – 也就是说，实际上约为7年。

第1课：“Android还是iPhone”这个问题本身就问错了。正确的问法是：“哪一款Android？”有7年支持的Pixel和只有两年支持的杂牌机是两个世界，尽管它们都叫Android。

Android和iOS各有多少CVE？

给非技术读者解释一下：CVE是一个公开的漏洞目录 – 每个被披露的漏洞都会得到一个编号，好让所有人说的是同一个漏洞。我在用数字看2026年网络威胁一文中更详细地写过它。

Zimperium在其Global Mobile Threat Report 2025中统计：2024年Android有501个CVE，iOS有317个。更有意思的是零日漏洞的数量，也就是在补丁出来之前就被用于攻击的漏洞：2022 / 2023 / 2024年Android分别为41 / 97 / 12个，iOS分别为5 / 20 / 5个。

第一反应：“Android漏洞更多。”第二反应，也就是渗透测试员的反应：CVE数量更多反映的是谁怎么统计、有多少人在找，而不是系统有多安全。为什么？

• Android的CVE里算进了第三方组件：基带、Qualcomm和MediaTek的芯片。Google在自己的安全公告里修的是别人的漏洞。Apple自己设计芯片，统计方式也不同。
• Android是开源的 – 任何人都可以查看代码并报告漏洞。在封闭的iOS里找漏洞更难，所以有一部分漏洞干脆就没有拿到编号。
• 从2025年起，Google改变了安全公告的节奏（稍后细说），所以就连Android自身的逐年比较也变得不那么直观。给个量级：2025年上半年，Android Security Bulletin修复了约270个漏洞，仅2025年12月一期公告就有107个。Apple在iOS 26.0中修复了27个CVE（据SecurityWeek；Apple自己的列表条目更多，因为一个漏洞可能涉及多个组件）。

比原始数字有意思得多的是漏洞的质量。Google多年来一直公布内存安全漏洞（大多数exploit正是从这类漏洞中诞生的）在Android漏洞中的占比：2019年76%，2024年24%，2025年低于20%。这要归功于Rust – Android中已经有约500万行Rust代码，Google报告称，Rust代码每百万行的内存漏洞比C/C++少约1000倍。Apple在2025年9月以iPhone 17上的Memory Integrity Enforcement（MIE）作为回应：始终开启的硬件内存标记，Apple称之为“消费级操作系统史上最重要的内存安全升级”。Google早在2023年就在Pixel 8上提供了硬件MTE，但只是可选项；Apple则为每个人默认开启。✔️

第2课：别按CVE数量买手机。要看厂商是否在投入消灭整类漏洞 – 而在这方面，两大巨头过去两年做的比之前十年还多。

真实攻击中的零日漏洞：2025年有15个针对移动设备

最硬的指标不是“找到了多少漏洞”，而是“有多少漏洞在补丁出来之前就被用来对付人”。Google Threat Intelligence Group每年都会统计：

• 2025年：90个零日漏洞被用于攻击（2024年：78个，2023年：100个）。其中15个在移动平台上（2024年：9个，2023年：17个）。
• 按公司划分（所有产品，不只是手机）：Microsoft 25个，Google 11个，Apple 8个。
• 由多个零日漏洞串成的利用链几乎全部（约90%）瞄准手机。2025年，由三个及以上漏洞组成的利用链比前一年更常见 – 因为单个漏洞已经不足以突破防护。
• Google给出的唯一按平台划分的数据：2024年有7个零日漏洞涉及Android，其中3个在第三方组件中。iOS的对应数字Google没有公布。
• 在有统计以来的历史上，第一次有更多零日漏洞被归于商业间谍软件厂商，而不是国家级间谍组织。
• 来自iOS的新鲜例子：2026年9月28日，Apple发布了iOS 26.7.1，修复了CoreGraphics中的一个漏洞（CVE-2026-86950）。据Apple称，该漏洞可能已在iOS 27之前的版本上被用于针对特定个人的“极其复杂的攻击”。作为对比：Android 10月的安全公告（25个CVE）没有将任何漏洞标记为已被利用。一个月说明不了什么 – 但它很好地说明了“iPhone没有零日漏洞”是个神话。

同一份报告里的建议只有一句话，我再重复一遍：在Android上开启Advanced Protection（高级保护，Android 16起），或在iPhone上开启Lockdown Mode（锁定模式）。这些是“面向高风险人群”的模式，但对CEO、律师或记者来说，如今它们就是理所当然的设置。

第3课：在零日漏洞的世界里，两个系统都是目标，差距比网上说的小。关键不在于漏洞本身，而在于用它们拼出一个可用的攻击要花多少钱 – 这个稍后就讲。

漏洞修补有多快？Apple vs Google

最好的独立测量来自Google Project Zero – 这个团队向所有厂商（包括Google自己）报告漏洞，并公开统计它们需要多少天才能出补丁。期限是90天。

2019-2021年：iOS平均70天，Pixel 72天，Samsung 72天。也就是打平。在2025年的表格中（截至2026年3月），Apple一条报告都没有，所以无法比较；Pixel 10用了73、98和98天（两次超期），Samsung修复图像编解码器平均用了49天。同一份统计里还有个花絮：浏览器。Chrome从报告到向用户推送修复用了30天，WebKit（Safari的引擎）- 73天。Apple修得快，但按自己的节奏发布。

只是“厂商发布了补丁”并不等于“补丁到了你的手机上”。真正的差别从这里开始：

Android改变了节奏。十年来，Google每个月都发布一期带补丁的安全公告。2025年7月出现了史上第一期空的公告，而从2025年9月起实行“基于风险”的机制：每月只修复正在被积极利用或属于已知利用链的漏洞，其余的放进季度大版本。合作伙伴会提前几个月拿到代码，而从2026年起，AOSP源代码每年只公开两次。对Samsung或Pixel用户来说，这在实践中影响不大。但对第三方系统（例如GrapheneOS）的开发者来说是个问题 – 补丁到他们手里更晚了。

Apple走了相反的路。2026年3月，它发布了第一批Background Security Improvements（后台安全改进）：小补丁（这次是针对WebKit漏洞CVE-2026-20643）在后台安装，无需完整系统更新，也无需重启。从发布到部署的窗口被压缩到最小。

下面是最终效果，也就是有多少手机真正装上了最新系统。注意日期：这是厂商公布的最新测量数据。此后iOS 27（2026年9月）和Android 17都已发布，但Apple和Google都还没有公布新的数字。

• iOS 26：所有iPhone中的79%，近4年机型中的86%（Apple，2026年6月，发布9个月后）。
• Android 16：Google 2025年12月样本中7.5%的设备（发布6个月后）；按StatCounter 2026年9月测量的网页流量 – 38%。方法不同，但没有一个接近Apple。
• Zimperium：一年之内，61%的Android设备和49%的iOS设备曾在某个时间点运行过时的系统版本，而企业中约25%的设备根本无法升级到最新版本。

第4课：在源头上，Apple和Google的修补速度差不多。差别在于通往你口袋的路：Apple的补丁能到达五分之四的iPhone，Google的补丁则要经过手机厂商、运营商和定制系统版本这几道关。所以如果你公司用的是Android，“14天内完成更新”的政策必须通过MDM（企业手机管理软件）强制执行，而不是交给用户自觉。

入侵一部手机要花多少钱 – 黑市价目表与Pwn2Own

最诚实的安全指标是价格。不是我的观点，也不是营销 – 而是有人愿意为一个可用的攻击付多少钱。exploit经纪商（为政府收购零日漏洞的公司）会公布价目表：

• Zerodium，2019年：Android零点击250万美元，iOS 200万美元。Android史上第一次比iOS贵。公司老板的解释：市场上充斥着iOS exploit，主要针对Safari和iMessage，而Google“不声不响地”把Android加固到了构建完整零点击利用链变得更难的程度。
• Operation Zero（俄罗斯），现行价目表：Android 250万美元，iOS 200万美元。2023年9月，该公司曾宣布，针对两个系统的完整利用链偶尔最高出价2000万美元。2025年，一名曾任L3Harris Trenchant部门负责人的美国人承认向他们出售exploit – 被判约7年。
• Crowdfense（阿联酋），2024年：iOS零点击500万-700万美元，Android最高500万美元，Chrome最高300万美元，Safari最高350万美元。这份价目表至今未变。公司的评论：“厂商部署的安全机制确实有效” – 过去一个人就能写出的exploit，如今需要一个团队。

也就是说，2019年Android更贵，2024年iOS更贵。结论？如今两个系统都是足够困难的目标，一条可用的利用链的价格抵得上华沙十套房子。没人会花这么多钱去偷你的度假照片 – 这是为政治和情报目的准备的钱。

第二个中立的测量是Pwn2Own – 一项比赛，世界顶尖团队现场攻破设备，奖金由主办方（Zero Day Initiative）支付：

• 2024年爱尔兰站：Galaxy S24被攻破（5个漏洞组成的利用链，奖金5万美元）。Pixel 8和iPhone 15各悬赏25万美元。连报名尝试的人都没有。
• 2025年爱尔兰站：Galaxy S25被攻破两次（各5万美元）。Pixel 9和iPhone 16各悬赏30万美元 – 零报名。
• 2026年爱尔兰站：转折点来了。Pixel 10在最后一天被攻破三次，Ikotas Labs凭其中一条利用链拿下30万美元 – 整场比赛的最高奖金。Galaxy S26被攻破7次，大多是“撞洞”（厂商已经知道的漏洞，所以奖金较低）。iPhone 17（同样30万美元）连续第三年无人报名。整场比赛：98个零日漏洞，奖金共计126万美元。

为什么三年来没人愿意为30万美元挑战iPhone？因为一条可用的利用链在经纪商那里值大约20倍 – 拿到比赛上展示是赔本买卖。所以今年的Pixel就更耐人寻味了：有三个团队认为把它拿出来展示是划算的。具体哪里出了问题，目前还不得而知 – ZDI要等90天、厂商修复之后才会公开漏洞细节。Samsung有自己的定制界面和自家应用，代码就是更多，可以找漏洞的地方也更多 – 所以它年年都被攻破。😈

第5课：iPhone和Pixel仍然是“hard targets”（硬目标）- 在真实攻击中，基本只有国家才负担得起。但今年的Pixel提醒我们，硬目标不等于无懈可击：攻击难度不是常量，而是一场厂商每年都得重新赢下的竞赛。其余Android手机排得更低，与厂商自有代码的多少和修补速度成比例。如果你在为高风险人员（管理层、财务、律师）挑选手机，这个标准应该比套餐价格更重要。

安全团队有多大？漏洞赏金与应用商店的防线

我本想在这里放两个数字：Apple有多少安全工程师，Google有多少。做不到 – 两家公司都不公布团队规模（Apple SEAR、Android Security、Project Zero）。你在网上找到的任何数字都是猜的。但有很好的替代指标：两家公司付给外部人员多少钱来找漏洞，以及它们在应用商店门口拦下了多少垃圾。

漏洞赏金：为漏洞付多少钱

• Apple：从2025年11月起，最高奖金为200万美元，针对零点击利用链（此前为100万美元），加上各种奖励（绕过锁定模式、beta版本中的漏洞）可达“500万美元以上”。自2020年计划启动以来，Apple已向800多名研究人员支付了超过3500万美元。在Security Research Device计划（专供研究人员使用的特制iPhone）中，2024年的奖金中位数约为1.8万美元，还有几次单笔达到50万美元。2026年，Apple还向易遭间谍软件攻击的公民社会组织赠送1000部iPhone 17。
• Google：2025年，所有VRP计划共向747名研究人员支付了1710万美元（2010年以来累计超过8100万美元）。其中Android和Google设备 – 290万美元（前一年为330万美元；Chrome拿到370万美元）。从2026年5月起，一条能攻破Titan M2芯片并实现持久化的Pixel完整零点击利用链价值100万-150万美元。Google直言：AI让计划里涌入了大量冗长的报告，所以奖金要流向AI最难发现的漏洞。
• Samsung：Knox Vault远程代码执行最高100万美元；2017年以来已支付超过400万美元。
• 此外，Google还养着Project Zero – 一个也在Apple和Samsung产品里找漏洞、并公开用90天期限考核所有厂商的团队。Apple没有公开的对应团队。

商店门口：有多少垃圾没能到达手机

• App Store，2025年：审核了910万次应用提交，拒绝了200多万次，关闭了19.3万个开发者账号，拦截了22亿美元的欺诈交易，在盗版商店上封锁了2.8万个应用。
• Google Play，2025年：在发布前拦下了175万个违规应用，封禁了8万个账号，Play Protect每天扫描3500亿个应用，并在商店之外发现了2700万个新的恶意应用。

这些数字衡量的东西不同（Apple算的是钱，Google算的是应用数量），但足以说明规模：两大巨头运营的“筛选工厂”，是任何一家波兰银行或电商都不敢想象的级别。😈

第6课：团队规模不公开，但钱是公开的。Apple为单个exploit付得更多，Google总额更高、覆盖面更广。两者说明的是同一件事：如今手机安全是一项每年数亿美元量级的投入。你的移动应用由外包团队半年写完，没有这种规模 – 所以在我的项目中，漏洞最常出现在应用里，而不是系统里。

恶意软件与钓鱼：钱到底是在哪里丢的

零日漏洞和价值数百万的exploit是情报机构的世界。普通人和企业的钱丢在别处 – 恶意应用和钓鱼。而在这里，局面一目了然，只不过两个类别的赢家正好相反。

恶意软件：Android

• Kaspersky，2025年：在手机上拦截了1400万次恶意软件、广告软件和不受欢迎软件的攻击（每月约120万次），发现了81.5万个新的恶意安装包和25.5万个新的银行木马 – 同比增长数倍。几乎全部针对Android。
• Lookout，2025年第三季度：企业设备上的恶意软件检测“绝大多数”涉及Android；一个季度内，企业手机上出现了7.1万个恶意应用。
• ESET，2025年下半年：通过NFC进行的攻击（受害者的手机把支付卡“交给”站在ATM旁的罪犯）增长了87%。
• 波兰：CERT Polska在2025-2026年描述了一系列针对波兰银行客户的攻击活动：NGate（冒充SGB、Santander、PKO、ING，通过NFC盗刷）、FvncBot（SGB、Alior、Paribas；伪装成“Play组件”）、Cifrat（基础设施伪装成Booking）。共同点：它们都是APK文件，在受害者点过“允许安装未知来源应用”的提示后，被手动安装到Android上。
• Google估计，从商店以外安装的应用携带的恶意软件是Play应用的50多倍。因此，从2026年9月30日起（巴西、印度尼西亚、新加坡、泰国）以及从2027年起在全球范围内，Android要求每个开发者都必须通过验证 – 即使是在商店之外分发。Zimperium：在企业中，每四部Android手机就有一部装有来自商店以外的应用。

公平起见：iOS也不是一尘不染。2025年2月，Kaspersky披露了SparkCat – App Store中第一个已知的恶意软件，它会读取截图，寻找加密货币钱包的助记词。而在欧盟，iPhone从2024年起也允许第三方应用商店（据TechCrunch，有六家在运营），不过每个应用仍要经过Apple自动加人工的“公证”。目前我还没见过这些商店出过什么大事。

钓鱼：iPhone

• Lookout，2025年第三季度：16%的iOS设备和7.8%的Android设备记录到了钓鱼尝试。2024年全年：26%对12%。Lookout也坦言：在企业里，iPhone通常配给高管和财务人员，所以它们本身就是更有价值的目标。
• Zimperium，2026年：企业手机上的钓鱼自2025年1月以来增长了380%，而近十分之一的设备检测到了间谍软件（同比增长4倍）。
• Google拿一项调查做宣传（YouGov，美国、印度和巴西的5000人），据称Android用户在一周内一条诈骗短信都没收到的可能性比iPhone用户高58%。这项调查是Google委托的，所以我把它当广告看 – 但借助AI过滤短信和来电，如今确实是Android这边更强。⚠️

第7课：Android输在恶意软件上，iPhone输在钓鱼上。前者可以靠策略解决（通过MDM强制执行“禁止安装商店以外的应用”），后者靠手机解决不了 – 因为钓鱼攻击的是人，不是系统。在你CFO的iPhone上，一个指向“发票”的链接看起来和在任何地方一样可信。

Pegasus、Graphite之流：谁是目标

商业间谍软件是另一个级别：Pegasus（NSO）、Predator（Intellexa）、Graphite（Paragon）。有一个事实值得记住：它们每一个都有两个系统的版本。2025年，Citizen Lab在两名记者的iPhone上确认了Graphite（通过iMessage的零点击攻击，CVE-2025-43200，iOS 18.2.1），同时在两名意大利活动人士的Android手机上也确认了它（通过WhatsApp的零点击攻击）。同一个客户，两个平台。

• Apple在150多个国家发送间谍软件攻击通知；仅2026年8月这一波就覆盖了110个国家的用户。Apple不公布接收者人数。
• 锁定模式：2026年3月，Apple表示，它不知道有任何商业间谍软件成功攻击过开启锁定模式的iPhone。这一点尚未经过独立验证，但Google的研究人员见过一检测到锁定模式就直接自我关闭的间谍软件。
• Android：类似的Advanced Protection模式出现在Android 16（2025年）中。来自另一边的例子：间谍软件LANDFALL利用Samsung图像处理中的一个漏洞（CVE-2025-21042）长达约9个月，补丁才姗姗来迟。
• 取证工具：根据2024年Cellebrite的泄露文件，iOS 17.4及以上版本的iPhone处于“研究中”状态（无法解锁），而根据2025年10月的泄露，运行GrapheneOS的Pixel 9完全无法读取 – 普通Pixel则可以。也就是说，从被扣押的手机里能提取出什么，更多取决于系统版本和配置，而不是logo。

第8课：如果有人愿意花几百万专门入侵你，操作系统救不了你。能救你的是配置 – 锁定模式 / Advanced Protection、发布当天就更新、每天重启一次（大多数移动间谍软件挺不过重启），以及明白“别乱点链接”已经不够了，因为零点击攻击根本不需要你点。

城墙与后门：安全机制如何运作，攻击又如何绕过它们

纸面上，两个系统的防御方式差不多。每个应用都待在自己独立的“房间”（沙箱）里，看不到别的应用在做什么。代码必须签名。手机启动时会检查系统有没有被人替换。内存由处理器里的硬件机制保护。好消息是：几乎没人能正面攻破这些城墙。坏消息是：也没人需要正面攻破。攻击者找的是后门 – 而每个系统的后门都不一样。

iPhone：价值数百万的技术后门

• BlastDoor对决一个其实是PDF的“GIF”。在iOS 14中，Apple把iMessage消息的处理关进了一个叫BlastDoor的特殊沙箱。2021年，NSO（Pegasus的开发者）给受害者发送了一个扩展名为.gif、内部却是PDF的文件。iMessage把GIF交给一个运行在BlastDoor之外的进程，而图形库识别出了真实格式，调用了一个带漏洞的解码器（CVE-2021-30860）。在这个解码器里，exploit用7万多个简单操作搭建出了一台自己的虚拟计算机。Google Project Zero称之为它见过的技术上最复杂的exploit之一。而后续的沙箱逃逸完全依靠逻辑漏洞，所以正如Project Zero承认的，硬件内存保护对它毫无作用。城墙是好的，只是并非所有东西都经过它。Apple在iOS 14.8中修复了这个问题，从iOS 15起，GIF也在BlastDoor内部处理了。
• Operation Triangulation，也就是未公开的硬件。2023年，Kaspersky发现自己员工的iPhone被一条看不见的iMessage消息感染了。这条利用链有4个零日漏洞，绕过了指针签名（PAC – 一种防止程序控制流被劫持的机制），而且 – 最有意思的是 – 绕过了内核内存的硬件保护。攻击者用到的是处理器里一些任何文档都没有记载、连Apple自己的软件都不用的寄存器（CVE-2023-38606）。Kaspersky称这是其专家见过的最复杂的攻击。
• 城墙顶住的时候：BLASTPASS。2023年9月，Citizen Lab又抓到了NSO的一次零点击攻击，这次是通过iMessage中的Apple Wallet附件。好消息是：Citizen Lab和Apple一致确认，锁定模式拦住了这次攻击。该模式会关闭Messages中的大部分附件、浏览器中的JIT编译（exploit最爱的入口）、陌生人的来电、锁屏状态下的有线数据传输，以及配置描述文件和MDM的安装等。
• 不需要exploit的后门：MDM描述文件。如果你买不起零日漏洞，可以直接开口要。GoldPickaxe（Group-IB，2024年2月）最初通过TestFlight（Apple官方的应用测试平台）传播，被Apple下架后，罪犯就劝说越南和泰国的受害者安装MDM描述文件 – 也就是把手机交给一家陌生的“公司”管理。这个恶意软件还会要求录制人脸视频，再用它制作深度伪造来骗过银行的生物识别验证。注意：锁定模式恰恰会阻止MDM描述文件的安装。

Android：无障碍功能，一扇几乎不要钱的后门

Android有同样的城墙：沙箱、SELinux、验证启动，还有用AI在设备端分析应用行为的Play Protect（2024年起）。但它还有一样iPhone不给第三方应用的东西：无障碍服务（Accessibility Services）。

这个API的初衷很高尚 – 为盲人、视障人士和行动障碍者而设计。为了让屏幕阅读器能把屏幕内容读给盲人听，让开关控制能替瘫痪的人点击，应用必须能看到屏幕上的一切，并能替用户点击。在任何应用里。包括银行应用。

对银行木马来说，这就是王国的钥匙。只要一次“允许”，应用就可以：

• 读取手机显示的一切 – 登录名、余额、短信验证码 – 并记录每一次按键，
• 在后续弹窗里自己点“允许”，给自己授予更多权限，
• 用一个假的登录界面盖住真正的应用，或者用一块黑屏遮住下面正在发生的事，
• 最后在你真正的银行应用里、在你自己的手机上，自己完成转账。在银行看来，这就是来自客户可信设备的一笔普通操作。😈

这不是理论。近几年的几个例子：

• Anatsa：通过官方Google Play中的假PDF阅读器和“清理工具”造成约15万-20万次感染（ThreatFabric，2024年2月）。它们以“让耗电的应用休眠”为借口申请无障碍权限。2025年，又一个伪装成PDF阅读器的投放器在美国获得了5万多次下载。
• Crocodilus（ThreatFabric，2025年3月）：接管手机，为了不让受害者看到设备在自己操作，它会显示黑屏并静音。
• Herodotus（ThreatFabric，2025年10月）：逐字输入文本，每个字之间随机停顿0.3到3秒，好让银行的反欺诈系统以为是真人在打字。它的假界面目标清单里就有波兰。
• FvncBot – 就在我们身边：它冒充“mBank安全密钥”（Intel 471，2025年12月）。CERT Polska（2026年3月）描述了它安装后如何注册一个名字无害的无障碍服务“System Update”，并获得读取窗口内容和执行手势的权限。接下来是：键盘记录、假界面、屏幕画面传输和远程控制手机。公平起见：并不是每个波兰木马都这么干 – 前面提到的NGate通过NFC盗刷，就不需要无障碍权限。

Google对此心知肚明，多年来一直在和罪犯玩猫捉老鼠：

• Android 13（2022年）：从下载的APK文件安装的应用不能申请无障碍权限 – 这个选项是灰色的。
• 罪犯的回应（2023年）：ThreatFabric描述了SecuriDropper – 一个中间应用，它用和应用商店相同的方式安装真正的恶意软件。系统分不清两者，于是限制就失效了。FvncBot在2025年用的正是同一招。
• Android 15和16：限制扩展到了更多敏感权限，而从2025年12月起，Google Play会拒绝那些假装是残障辅助工具、实则不是的应用。Play Protect也会在手机上拦截它们。
• Android 17：开启Advanced Protection模式后，所有不是真正无障碍工具（屏幕阅读器、开关控制、语音控制、盲文）的应用都会被自动收回无障碍权限。问题在于：只有你开启了这个模式才行。密码管理器和自动化应用等也会因此失去这项权限。

iPhone没有这个问题，原因很简单：第三方应用拿不到可以读取其他应用内容、替用户点击的API。VoiceOver是系统的一部分。这正是移动银行木马几乎全部出现在Android上的主要原因之一。

30秒实用小测试：打开设置 → 无障碍，查看已下载/已安装且开启了该权限的应用列表。如果你看到的不只是你有意使用的工具（屏幕阅读器、语音控制），尤其是看到“系统更新”、“PDF阅读器”或“银行安全密钥”之类的东西 – 立刻断开手机网络，并给银行打电话。银行应用不需要这项权限。⚠️

第9课：如今两个系统的城墙都很高。进入iPhone靠的是价值数百万的技术后门 – 通过冷门的文件格式和未公开的处理器寄存器。而进入Android，罪犯更常走的是一扇几乎不要钱的人性后门：在无障碍设置里点一次“允许”，给他的比一个百万美元的exploit还多。所以在Android上，用户教育和禁止安装商店以外的应用，比手机型号更重要。

结论：评分表

这是我的主观评分 – 但每一栏都基于上面的数据。这里的“Android”指的是有完整支持的Pixel或Samsung；超市里的杂牌机在每一栏都输给这两者。

如果非要用一句话概括：对什么都不设置的普通人来说，iPhone“开箱即用”更安全；对会做配置的企业来说，管理得当、装了MDM的Pixel或Samsung至少同样安全。而最差的选择，是没有更新支持的Android – 不管它多便宜。

无论用哪个系统都该做的7件事

1. 自动更新：打开，并且确认过。这是本文中唯一一个让两个平台相差十倍的参数。企业里的Android：通过MDM设定期限强制执行。
2. 不装任何商店以外的应用。恶意软件多50倍。如果你没有MDM，关闭“未知来源”，并开启Auto Blocker（Samsung）或Play Protect。时不时检查一下哪些应用拥有无障碍权限。在iPhone上 – 不要通过链接安装配置描述文件或MDM。
3. 为管理层、财务、律师、HR开启锁定模式 / Advanced Protection。没错，有些功能会用不了。这就是代价。
4. 每天重启一次。听起来很傻，但对大多数没有持久化能力的移动间谍软件都有效。
5. 按支持周期买手机，而不是按摄像头。7年（Pixel、Galaxy S）或者iPhone。一部不再更新的手机，两年后就等于一部exploit价目表公开、而且免费的手机。
6. 防钓鱼的流程。老板的iPhone和仓库员工的Android收到链接的概率一样。更改供应商收款账户、异常转账、来自上司的“紧急”请求 – 永远走第二个渠道，找第二个人确认。
7. 测试你自己的移动应用。如果你的公司发布了iOS或Android应用，那么最薄弱的环节是它 – 而不是系统。Apple和Google每年为自己那部分花几亿美元；你那部分只需要几天的测试。想知道具体多少钱，可以用计算器算一算；如果你更想聊聊 – 联系我。

常见问题（FAQ）

iPhone比Android更安全吗？

“开箱即用”的话 – 是的：补丁更快到达设备（79%的iPhone运行iOS 26，而运行Android 16的Android设备只有7.5%-38%），没有大规模恶意软件，只有一个封闭的应用商店。但对企业来说，管理得当、有7年支持并装了MDM的Pixel或Samsung同样安全，而没有更新支持的便宜Android手机则输给这两者。

Android和iOS各有多少漏洞（CVE）？

据Zimperium统计，2024年Android有501个CVE，iOS有317个。这两个数字并不完全可比：Android的数字包含Qualcomm、MediaTek等公司的组件，而且Android作为开源系统，有更多研究人员在找漏洞。

iPhone和Android的exploit值多少钱？

Crowdfense（2024年价目表，至今有效）为iOS零点击利用链最高支付500万-700万美元，为Android最高支付500万美元。俄罗斯的Operation Zero为iOS支付200万美元，为Android支付250万美元。2019年，Zerodium给Android的估价更高（250万美元对200万美元）。

Apple和Google修补漏洞有多快？

据Google Project Zero统计（2019-2021年），iOS从报告到补丁平均需要70天，Pixel和Samsung各需要72天。差别在于补丁到达用户的速度：Apple能在几个月内更新几乎全部用户，而Android的更新取决于手机厂商。

iPhone能在不点击任何东西的情况下被黑吗？

能。零点击攻击（例如2025年Paragon公司的Graphite通过iMessage发起的攻击，CVE-2025-43200）在两个系统上都存在。能防御它们的是锁定模式（iOS）和Advanced Protection（Android 16），以及第一时间更新。Apple表示，它不知道有任何间谍软件成功攻击过开启锁定模式的手机。

为什么Android的无障碍功能很危险？

无障碍服务（Accessibility Services）是为残障人士设计的，因此允许应用读取屏幕上的一切并替用户点击。Anatsa、Herodotus以及针对波兰用户的FvncBot等银行木马，会诱导受害者开启这项权限，然后窃取密码，甚至在真正的银行应用里自己完成转账。Android 13及更高版本让商店以外的应用更难获得这项权限，而Android 17开启Advanced Protection模式后，会收回所有非无障碍工具应用的这项权限。iOS不向第三方应用提供这样的API。

企业该选哪种手机？

iPhone，或者有7年更新保障的Android（Pixel 8及以上、Galaxy S24及以上），一律纳入MDM管理，强制更新，禁止安装商店以外的应用。管理层和财务人员 – 开启锁定模式 / Advanced Protection。

总结

多年来，这场讨论看起来像是在给球队加油。数据揭示的东西既更无聊，也更有意思：在源头上，Apple和Google如今在同一个级别上竞争 – 修补速度差不多，都为漏洞支付数百万美元，它们的旗舰机都成了只有国家才负担得起的攻击目标。差别在更下游：有多少手机真正收到了补丁，用户从哪里安装应用，以及手机握在谁的手里。iPhone在不做配置的普通人那里获胜。Android在会做配置的企业那里获胜 – 前提是买的手机有更新支持。而永远输的，是不更新的人。🔓

如果你想看看你的移动应用或公司手机在攻击者眼里是什么样子 – 你知道去哪里找我。

本文所用数据来源

• StatCounter – 全球及波兰移动操作系统份额（2026年9月）
• Google – Pixel更新政策（support.google.com）；Samsung / 9to5Google – Galaxy S25的7年支持（2025年1月）；Apple – iOS 26 security content（2025年9月）
• Zimperium – Global Mobile Threat Report 2025（2025年4月）及2026年报告新闻稿（2026年7月）
• Google Security Blog – “Eliminating memory safety vulnerabilities at the source”（2024年9月）；Google – “Rust in Android: move fast and fix things”（2025年11月）
• Apple Security Research – “Memory Integrity Enforcement”（2025年9月）；“A major evolution of Apple Security Bounty”（2025年10月）
• Google Threat Intelligence Group – “2024 Zero-Day Trends”（2025年4月）及“2025 Zero-Day Review”（2026年3月）；SecurityWeek – 综述（2026年3月）
• Google Project Zero – “A walk through Project Zero metrics”（2022年2月）；Reporting Transparency 2025（截至2026年3月17日）
• Android Security Bulletin – 2025年7月及2025年12月；Android Authority – 基于风险的更新机制（2025年9月）；SecurityWeek（2025年7月）；BleepingComputer（2025年12月）
• Help Net Security – Apple首批Background Security Improvements（2026年3月）；Apple / 9to5Mac – iOS 26.7.1，CVE-2026-86950（2026年9月28日）；Android Security Bulletin – 2026年10月；MacRumors – iOS 27发布（2026年9月）
• Apple / MacRumors – iOS 26普及率（2026年6月）；Google / 9to5Google – Android版本分布（2026年1月）；StatCounter – Android版本（2026年9月）
• Crowdfense – Exploit Acquisition Program；TechCrunch（2024年4月）；Operation Zero – 价目表（opzero.ru）；TechCrunch（2023年9月）；Threatpost – Zerodium（2019年9月）；CyberScoop / The Hacker News – Peter Williams案（2025-2026年）
• Zero Day Initiative – Pwn2Own Ireland 2024、2025及2026结果；BleepingComputer（2026年10月9日）；Privacy Guides（2026年10月13日）；SecurityWeek（2024年10月）
• Google – VRP 2024（2025年3月）及VRP 2025（2026年3月）；SecurityWeek – 按计划划分（2026年3月）及Android VRP变化（2026年5月）；Samsung Newsroom（2024年11月）
• Apple Newsroom – App Store fraud prevention 2025（2026年5月）；Google – “How we kept Google Play safe in 2025”（2026年2月）
• Kaspersky Securelist – “Mobile malware evolution in 2025”（2026年3月）及2024年版（2025年3月）；Lookout – Q3 2025 Mobile Threat Landscape；Lookout / Business Wire（2025年4月、2026年1月）；ESET Threat Report H2 2025（2025年12月）
• CERT Polska – NGate（2025年11月）、FvncBot（2026年3月）、Cifrat（2026年4月）分析
• Android Developers Blog – 开发者验证（2025年8月、2026年6月）；TechCrunch – 欧盟第三方应用商店（2025年3月）；Apple – 欧盟应用分发
• Google – “How Android provides the most effective protection…”（2025年10月，Google委托的调查）
• Citizen Lab – Report 186，Paragon Graphite（2025年6月）；Apple Support – 威胁通知；The Hacker News（2026年8月）；TechCrunch – 锁定模式（2026年3月）；The Record / Unit 42 – LANDFALL（2025年11月）
• 404 Media / TechSpot – Cellebrite泄露（2024年7月、2025年10月）；Android Authority（2025年10月）
• Google Project Zero – “A deep dive into an NSO zero-click iMessage exploit”（2021年12月）及“FORCEDENTRY: Sandbox Escape”（2022年3月）；SecurityWeek（2021年12月）
• Kaspersky – Operation Triangulation（2023年6月）；Securelist – “The last (hardware) mystery”（2023年12月）
• Citizen Lab – BLASTPASS（2023年9月）；Apple – 锁定模式（Newsroom 2022年7月，Personal Safety User Guide）
• Group-IB – GoldPickaxe / GoldFactory（2024年2月）
• ThreatFabric – SecuriDropper（2023年11月）、Octo（2022年4月）、Crocodilus（2025年3月）、Anatsa（2025年7月）、Herodotus（2025年10月）；BleepingComputer – Anatsa（2024年2月）；The Hacker News – Hook v3（2025年8月）
• Google Security Blog – Android 15与Play Protect实时威胁检测（2024年5月）；Android Developers Blog – 无障碍API保护（2025年12月）；The Hacker News – Android 17 Advanced Protection与无障碍功能（2026年3月、2026年10月）
• Intel 471 – FvncBot（2025年12月）；CERT Polska – FvncBot分析（2026年3月）