在2025年Android裝置錄得破紀錄的攻擊數量，騙徒利用AI熱潮、繞過網站封鎖和年齡驗證的渴望、新智能手機的低價戰、充動銀行的普及和NFC技術的流行，不斷創新期望突破防線，所以要學會保護自己，就要先瞭解這些威脅。
側載
惡意安裝封包(APK檔)一直都是Android威脅的最終Boss，即使Google多年一直致力打擊，但透過側載(從非官方商店經由APK檔安裝應用程式)，用戶能輕易安裝全何東西，包括惡意程式，而且推出Google Play Protect和對可疑應用程式的權限限制，都未能有效減小問題規模。根據Kaspersky 2025年的數據，偵測到的Android威脅增長接近一半，單是第三季與第二季相比便急增了38%，當中尤其以銀行木馬方面增幅最顯著，全球整體增加接近四倍。
現代的不法份子透過即時通訊程式散播惡意程式，把惡意檔案暗中加入私訊和群組聊天之中，以誘人的檔案名稱包裝，還附上繞過作業系統限制和安全警告的安裝教學，一旦有新裝置被感染，惡意程式便會向受害者的聯絡人清單濫發，搜索引擎和電郵活動也是趨勢，遊說用戶前往看似官方商台的網站，指示下載最新有助手工具，例如AI助手，事實上用戶是下載APK封包，這種木馬程式在盜竊用戶的聊天記錄和通話歷史，甚至是使用前置相機拍攝用戶的照片。
問題嚴重到Google曾宣佈在2026年將禁止不明開發者散播應用程式，不過在開發者社群的抵制下，公司改以較溫和的方式推行，未簽署的應用程式只能透過某種超級用戶模式進行安裝，結果騙徒只要更新他們的安裝教學就能繼續作惡。
NFC中斷攻擊
一旦Android裝置遭入侵，黑客受惠於流動支付，能繞過中間人直接盜竊受害者的金錢，單是2025年第三季就在俄羅斯就偵測到超過4.4萬次攻擊，比上一季急增50%。NFC中繼攻擊分為直接和反向兩種手段，直接中斷攻擊是當騙徒經通訊應用程式接觸受害者，誘騙他們下載應用程式並假裝與銀行核實身份，並要在他們的手機感應實體銀行卡和輸入個人密碼，如此一來卡資料便流入犯罪份子手上，能夠盜竊資金或進行購物。
逆向NFC中繼是較精密的活動，騙徒發送惡意APK遊說受害者以新應用程式作為預設的無接觸交易方法，應用程式產生NFC訊號ATM辨別是騙徒的卡，受害者帶著被感染的手機前往ATM傳錢到「安全帳號」，實際上是直接送到騙徒手中。NFC技術也被用於從被盜的銀行卡資料套取現金，把被盜的卡連結到自己的智能手機流動錢包。
VPN的爭議
世界上很多地方無法簡單地訪問某些網站，部份網站被當地的互聯網監管機構或網絡供應商透過法庭命令進行封鎖，也有部要要求用戶顯示身份證或個人資料核實年齡，部份個案網站封鎖特定國家用戶以避免觸犯當地法律，用戶一直想繞過這些限制，但最終經常付出自己的資料或金錢。很多知名工過為繞過封鎖而設，其實是監視用戶，尤其免費工具，有最近的審計揭露超過20個熱門的服務，合共下載超過7億次，主動追蹤用戶的位置，他們通常使用不太可靠的加密技術，其實用戶資料能任由第三方攔截。
此外，根據2025年Google的數據，惡意程式偽裝合法VPN詐騙用戶的個案急升，這類應用程式需要的權限與攔截資料和操縱網站流量的權限完全吻合，令騙徒更容易獲得受害者給予管理員權限，而不是遊戲或音樂播放器的應用程式管理員權限，所以可以預期這類個案會持續增加。
預載木馬程式
即使最小心的用戶也可能因為慳錢而受到感染，在去年全球都有裝置被預載木馬程式的報告，通常是來自不知名廠商的智能手機或是從網上購買的仿製品，而且威脅不限於手機，電視盒子、平板電腦、智能電視甚至數碼相架都被發現存在風險。現時仍未完全清楚感染是發生在廠房還是在供應鏈內，但裝置在首次啟動已經被感染，通常涉及惡意程式Triada，早在2016年首次發現，能感染自己到所有執行中的應用程式並攔截資訊，盜竊知名通訊應用程式和社交媒體的存取token和密碼，騎劫SMS訊息、導引用戶到大量廣告的網站甚至在手機上直接執行代理伺服器，攻擊者能以受害者身份上網。
技術上木馬程式內嵌在智能手機的韌體，只有以清潔的OS重刷裝置才能把它殺滅，通常一旦進入系統，用戶會發現裝置比宣傳的更少容量和記憶體，意味著韌體在欺騙用戶，把廉價的硬件配置包裝成更高價的商品。另一種常見預載的是BADBOX 2.0殭屍網絡，它更兼具代理伺服器和廣告詐騙引擎雙重功能，最常在電視盒子和類似硬體上出現。
安全地使用Android
即使威脅持續增加，但用戶仍能安全地使用Android智能手機，只要嚴格遵守一些衛生規則：
- 在所有智能手機安裝功能全面的保安方案
- 避免經由APK側載，從官方商店下載，如果只能在官方公司網站下載APK，重複查看網址，如果不100%確定官方網站，不要倚靠搜索引擎，多用不同渠道核實正確地址。
- 安裝時小心閱讀操作系統的警告，不要授予權限予不合邏輯或過份的請求。
- 任何情況下都不應該從聊天、電郵或類似的通訊渠道所得的連結或附件十裝應用程式
- 永不把自己的實體銀行卡輕解自己的電話
- 不要輸入卡的個人密碼到電話上的任何應用程式，密碼只應該在提款機或實體支付系統上使用。
- 選擇VPN時選擇有聲譽的公司
- 從官方零售商購買智能手機或其他電子裝置，遠離從未聽過的品牌。
資料來源：Kaspersky Blog
