从“本地旅行”和“老人交友群”说开去：什么是“交友药”？

最近安全圈里冒出来一个让人毛骨悚然的词：交友药——它不是药，而是一种社交工程与移动恶意软件结合的诈骗套路。ThreatFabric 等安全厂商在 2025 年底开始把 Datzbro 这类 Android 恶意程序和社交工程活动联系起来：攻击者先在 Facebook（或本地社区平台）建看起来“正经”的群组，标题像“Senior Group”“Lively Years”“本地短途老人旅行”，帖子用 AI 文本生成，贴得体面、亲切，专门招呼某一城市或移民/留学生社区的人进群。

在微信群/留学生群里，我们常说“人在国外靠朋友”，但朋友也可能是诱饵。一旦有人表达兴趣，交流就会从公开帖跳到私聊（Messenger、WhatsApp），骗徒发一个“报名APP”或“活动报名表”的下载链接——实际上是 APK，装上去就把手机变成了“遥控器”：记录按键、偷窃验证码、打开透明覆盖层骗过你，甚至利用 Accessibility Services 把你的屏幕界面“重建”给操作员，让他们像“过肩观看”那样远程操控你的手机完成转账。

这事不仅在澳大利亚出现报告，类似模式也被发现于新加坡、马来西亚、加拿大、南非、英国等地。对我们在外的华人和留学生来说，受害人群既有语言不熟、信息孤立的老人，也有习惯用社交群找归属的年轻留学生。再结合最近媒体对“在线诱骗/网络引诱”案件的报道（见 sources），这不是遥远的新闻，而是正发生在你我周围的风险。

交友药如何运作（一步步拆解）

  1. 诱饵阶段 — 建群与贴文

    • 攻击者创建本地化 Facebook 群、活动页面；帖子语言自然、情绪化（“附近活动，结伴出行，安全可靠”）。
    • AI 生成的评论和成员互动制造“人多可信”的错觉，驱散怀疑。

  2. 私聊转移 — 从群到私信

    • 表达兴趣后，受害者被移到 Messenger/WhatsApp 私聊，骗子表现热情、耐心，聊家常建立信任。
    • 随后提供下载链接（APK）或邀请用 TestFlight（iOS 诱饵，正在被观察的方向）。

  3. 安装与权限陷阱 — 应用拿到关键权限

    • 所谓“报名表”要求“允许辅助功能/读取通知/设备管理”等高权限；受害者习惯点同意以为是“表单需要”。
    • 一旦授予，恶意程序记录按键、捕获一次性密码（OTP）、截屏、录音、读取文件与 Cookie。

  4. 收割阶段 — 远控与钱款转移

    • 利用 overlay（覆盖层）欺骗显示假界面，或使用“schematic remote control”重建界面并由操作员远程点击，完成银行转账、购物授权或修改收款账户。
    • 还可能通过联系人名单横向攻击受害者的朋友圈或家人。

这是一个“情感钓鱼 + 技术收割”的双保险套路。重点提醒：这类攻击已经在多个国家出现变体，且有迹象要跨平台（Android → iOS TestFlight 诱饵）扩张。

海外华人/留学生能怎么做？实操自保清单

  • 下载原则：应用只从官方应用商店下载（Google Play / Apple App Store），不要通过社交链接安装 APK。
  • 权限审查：遇到要求“辅助功能（Accessibility Services）/设备管理（Device Admin）/读取通知”的应用，一律三思并求证。
  • 验证群体：加本地群前搜群名、看成员、查是否有真实活动照片和付款凭证；遇到“先付费再确认名额”的，优先怀疑。
  • 多渠道核实：主办方如果说有线下办公室或本地社团，去 Google Maps、Yelp、本地社区论坛交叉核验。
  • 快速断链：一旦怀疑被骗，立即断网、卸载可疑应用、修改重要账户密码、在银行冻结交易并报警。
  • 备份证据：保留聊天记录、链接、APP安装包和截图，便于警察或银行追查。
  • 使用安全工具：启用两步验证（2FA）推荐使用物理安全密钥或认证器 App，避免仅靠短信 OTP。考虑安装受信任的防病毒/反恶意软件并保持系统更新。

这些步骤看似基础，但很多受害是因为“信任被滥用”和“权限开得太广”。

🙋 常见问题（FAQ）

Q1：我怀疑自己安装了可疑 APK，应该先做什么？
A1： 立即断网（关闭 Wi‑Fi 和移动数据）以阻止更多数据外露；列出要做的三步：

  • 卸载可疑应用（如果卸载被阻止，进入安全模式再卸载）；
  • 在另一台设备上修改重要账户密码（银行、邮箱、社交账号），并开启认证器或物理密钥；
  • 联系银行/支付平台冻结可疑交易并报警。官方渠道：当地警察局与银行安全团队（银行客服电话），如果在英国/澳大利亚/加拿大等地，可参考本地反诈骗中心网站流程。

Q2：群里有人邀请线下活动要预付款，我该怎么安全验证？
A2： 验证清单：

  • 要求对方提供组织者身份证明、地面联系方式和过往活动照片；
  • 用 Google Maps / 本地社区论坛核对地址与评价；
  • 优先采用有退款保证的支付方式（信用卡消费可争议退款），避免直接转账给个人账号；
  • 如果对方抗拒第三方支付或要求通过私人转账，直接拒绝并在群里提醒其他人。

Q3：我想帮助群里年长的同胞防骗，该做哪些教育工作？
A3： 路线图：

  • 简短讲解示范：演示“真APP与假APK”的差别，教会他们如何识别权限弹窗；
  • 建立互助清单：把可靠的本地服务（旅行社、社区中心）信息整理成文档并共享；
  • 设立“拉黑+举报”流程：教老年人如何在 Facebook/WhatsApp 上举报并截图保存证据；
  • 推荐官方渠道：例如本地反诈骗热线、领事馆或学生事务办公室等权威联系方式。

🧩 结论

交友药不是单一的技术问题，而是“社交信任被技术化利用”的后果。它利用我们的善意、孤独和对社交的渴望来布下陷阱。给你三条立刻可做的事：

    1. 下载只信官方商店；遇到“报名链接”先问清楚并交叉核验；
    1. 权限谨慎，同意前想三遍；遇到辅助功能等敏感权限先停止；
    1. 建群互助，把可疑信息立即贴群警示并保存证据，必要时报警。

保护自己同时也保护圈子——信息共享是最有效的防线。

📣 加群方法

想在海外遇到这类坑有人秒回？来寻友谷。我们群里有在多国落地的华人、早有类似被骗经历的长者义工，以及 IT/安全/法律背景的老哥可以即时给你“怎么撤单”“怎么报案”的实操建议。加入步骤很简单：

  1. 在微信“搜一搜”输入：寻友谷；
  2. 关注公众号后添加拉群小助手微信；
  3. 进群后发一句“我在（国家/城市）需要安全互助”，群里会有人拉你到对应国家分群。

对于“交友药”方向，群里可以一起做：校对可疑群名清单、共享本地警局/银行的紧急联络格式、组织线下安全讲座甚至联名向平台举报假群。你一个人慌，我们一群人稳。

📚 延伸阅读

🔸 Viral video shows Indian student arrested in UK for online grooming: What really happened?
🗞️ 来源: The Times of India – 📅 2026-01-11
🔗 阅读原文

🔸 Amazon Lets Stranded H-1B Employees Log In — Then Blocks Most of Their Work: Here’s What’s Happening
🗞️ 来源: Times Now – 📅 2026-01-11
🔗 阅读原文

(关于 ThreatFabric 对 Datzbro 的技术报告可在安全厂商的官方网站和专业安全媒体检索，本文依据公开报道整理。)

📌 免责声明

本文基于公开资料与安全报告整理，并由 AI 协助润色，非法律/投资/移民/医疗建议，仅供信息分享与社区防骗参考；若遇紧急安全事件，请以当地执法机构、银行与官方渠道为准。如有信息错误或需要补充，欢迎在群里指出，我这边改。谢谢大家，夜深了，有啥事群里见——人在海外，别怕，咱们互相顶着。