被反诈预警的 16 天：6 通电话与 RustDesk 的误伤

从 8 月底到 9 月中，接了 6 通反诈电话、去了 6 趟派出所，银行卡被保护性止付 16 天。半个月里被预警三次，前两次是“通用模型”，第三次（9 月初）升级成“疑似被软件远控”，止付就是这么来的。民警在记录里写的是：拒绝安装反诈 App、手机内存在过多外网软件、不愿卸载、部分软件不愿提供查看——因为我不想当着他们的面，把手机里每个 App 挨个点开拍照。折腾到最后才发现，后面三次大概率是我自建 RustDesk 被误伤。

事情经过

第一次接到反诈电话是 8 月底，具体哪一天记不清了。当时完全没往心里去，毕竟人家是“反诈提醒”，配合一下就好。后面又断断续续来了几通，前后一共 6 通，跨度半个多月，口径换了三次：

次数	对方口径	我的反应
第 1～3 次	说我在访问外网	确实挂过代理，只能认
第 4 次	说我在被远程操控，卡也是这时候被冻的	懵了，我没有被害啊
第 5～6 次	说我在和诈骗分子联系	越听越离谱

前三次的内容基本一样：说我在访问外网、有被骗风险，让我装反诈 App，把手机里“来路不明的境外软件”卸载掉。电话的结尾也都一样：来一趟派出所。

派出所前后一共去了 6 趟。这里得先吐槽一句：每一趟都要先坐那儿听一个多小时的反诈宣传——民警拿着一张纸，念一条打一个勾，一条一条往下讲，每讲完一条还要再展开一个案例。6 趟下来，同一张纸上的内容听了 6 遍，光这些废话就够上半天班了。

第四次直接说我手机可能正被人远程操控着，让我立刻检查有没有开着屏幕共享、无障碍权限，是不是有人在看着我的屏幕指挥我转账。

民警把后台记录摆给我看：8 月下旬第一次预警、隔几天第二次，这两次都是“通用模型”；到 9 月初的第三次，口径变成了“疑似被软件远控”。半个月里响了三次，几乎每隔一周一次。

我问了下，能不能告诉我具体是哪个软件、哪个域名触发的，我自己就是做软件开发的，给我一个名字，我自己就能定位、自己就能查。得到的答案是后台没有具体到哪个软件，只给个大概的模型判定，所以只能靠人工把手机里的软件排查一遍。我问判定标准是什么，得到的答复是：应用商店里搜不到名字的、下载不到的，都叫可疑软件。

到这里就陷入死循环了，他让我删掉“触发预警的那个软件”，我说你告诉我是哪个我就删；他说我们不知道是哪个，所以才要看你所有的软件。他觉得他在尽职，我觉得他在侵犯隐私，即使说了国庆要出国需要提前下载一些海外软件也没用。再往后就是掰扯“翻墙”的争论，什么翻墙违法我说条文我看过，针对的是自行架设、经营这类行为，哪有这种法律条文。

拉扯到最后还是把我银行卡冻结了。离谱的是，说完冻结还要我把国家反诈中心 App 装上，这真是气不打一处来，你给我添堵让我银行卡不能用，还要我配合你工作，你看我听得进去么？我问依据是什么，让把法律条文列出来——安装应该是自愿的，你们只有推荐权，没有强制权。他的回答也很干脆：“愿不愿意安装是您的事，您不愿意安装，我这边就反馈您拒绝安装。”到这里也没啥好说的了，记录人家写，春秋笔法随便写，写得好像是我真被诈骗了似的。

当天卡就冻了。付款失败，换张卡也一样，手机银行显示“该账户已被管控”，坑人的是微信零钱也被冻结（后面发现应该是点了什么零钱升级财付通啥的，后面解冻我第一时间把这玩意关了）。冻结后尝试打电话投诉，这时候才理解了普通人的维权困难，政府部门踢皮球那是一绝。

1. 先打电话给反诈中心，对方说你应该找派出所，派出所让你打过来就不对
2. 继续打12345，说这事儿他们管不了，给了公安分局电话
3. 公安分局电话说只能转接，给了个督察电话，且督察电话下午2点后才有人接
4. 好不容易打通督察电话，到这里也得到结论了，提前解冻是不可能了，顺便投诉一把这种互相踢皮球的行为
5. 后续收到电话回访，对面大叔直接说：“反正都已经过了几天了，再等几天不就解冻了”。另外投诉如果不知道民警的警号，连给他个批评处理都不行。你的身份信息民警随便看，民警那边周四下午谁上班这种一问就知道的事情也可以直接一句投诉人不知道警号就搪塞过去哈哈哈哈

第 5 次我也懒得折腾了，把谷歌地图等一堆所谓的外网 app 全删了，结果没几天第 6 次又来了。这个时候也大概知道了，这个弱智系统根本就不是从外网翻墙判定我的问题的，然后剩下的不是从应用商店下载的就好锁定了，RustDesk 就是这时候作为一个我近期使用，又不是从应用商店下载的软件。即使服务器是我自己用 NAS 搭建的，反诈中心觉得你是外网软件你就是，有点无语。

16 天里的连锁反应

止付对于正常生活还是有影响的，下次有人碰到了可以注意下：

• 信用卡还款本来靠自动扣款，扣款卡被冻，只能逾期几天；
• 微信被冻结，和朋友约饭啥的也只能让对方先付钱半个月后再给他了，老实说挺尴尬的
• 房租啥的微信也给不了，只能和房东说下先等半个月，还好住得久了好商量

最后这条尤其要记一笔。零钱被冻是因为i我之前为了提升微信支付额度开通了微众银行的“升级服务”，那是一个独立的银行账户，反诈系统管控时可以像对待银行卡一样直接穿透它。后来我在微信里取消了这个升级服务，零钱当场恢复，因为冻结银行卡是一个2天一次的操作，会有个冻结解冻的过程，有个时间差。

猜测：为什么是我

这是整件事里我最想搞清楚的部分。

1. 域名黑名单

先说一个我自己的怀疑：冻卡前几天，我在网页上看免费小说和漫画，经常会跳到一个不知道什么域名，页面秒关，内容我都没看清，很可能被访问了某个黑名单域名，被国产手机后台悄悄上报数据给反诈中心标记上了，后续又发现我这手机经常翻墙，还有 RustDesk 特征的流量，开始了我的反诈 6 连 call …

2. 运营商侧的流量特征识别（DPI）

这一条是后面三次电话最可能的来源。RustDesk 这类远控软件因为被诈骗分子拿来搞屏幕共享诈骗，流量特征已经被打了标记：默认端口、心跳包节奏、连接模式都比较固定，在运营商网络侧做深度包检测时很容易被挑出来。网上能找到其他人的反馈：只要用手机流量（而不是 WiFi）连 RustDesk，很快就会有电话，自建服务端也一样，因为识别的是协议特征而不是你连的哪台服务器。

我的用例是“手机连家里电脑”，在风控模型眼里和“骗子远程连受害者手机”在流量层是一样的形状。

3. 手机系统侧的应用上报

国产安卓机的系统组件（手机管家、应用安装器之类）会扫描应用列表和网络行为并上传。网上有人说 RustDesk 的包名之后电话就停了，系统更新之后又开始；也有人表示把手机管家切成“本地模式”、不用自带安装器之后就清净了。这条我没法验证，但从“卸载反诈 App 的第二天就来电话”这种现象看，系统侧确实有东西在主动上报。

4. 标记会累积，行为会被重新解释

被标记之后，同样的行为会升级。比如我卸载反诈 App，本意是嫌它烦，但按社区里的经验，卸载会被读成“设备失去保护”，反而抬高预警优先级（这一点我存疑）。

后续预防

1. 搞清楚原理之后，方案其实很清楚了：不要用国产手机和国内电话卡的组合下翻墙以及使用 RestDesk
2. 放点钱到海外银行卡，比如港卡里，目前还没有管这么宽把香港卡也连带着冻结。