海外一名开发者拆解了一款在广州以19美元购入的杂牌充电宝，在其内部检出一套可远程窃取数据的完整硬件。
 
这台充电宝外壳上找不到任何牌子，贴纸上写着30000毫安时，拿在手里沉甸甸的，看着容量很实在。他在广州机场的小店随手买下，回国后一直用它给手机充电。
 
第一次插上手机时，屏幕上跳出一个询问，问要不要信任这台电脑，他当时没多想，点下了信任。
 
普通人对充电宝的印象，就是个存电的盒子，插上之后只该走电流。可这台设备从一开始就不是单纯在供电，数据线里负责传数据的那几根线也被接上了。
 
他后来给自己的设备加了一道提醒，再插上充电宝，10秒不到屏幕就先跳出黄色警告，紧跟着变成红色，数据正顺着数据线往外走，手机把这台充电宝认成一台自带64GB存储、还能自己联网的小电脑。
 
3周时间里，这台充电宝从手机里复制走1206个通讯录号码、3912张照片，里面有护照证件照，还读走了家里Wi-Fi的名称和密码、手机的IMEI码和序列号，以及全部应用名单，其中包括2个银行App。
 
靠着偷来的Wi-Fi密码，设备自己连上家里网络，3周内一共往外部服务器上传了19次数据，最后一次发生在夜里，家人都在睡觉。他妻子的手机也插过这台充电宝，同样点下了信任，相册照片一并被带走。
 
发现不对后，他立刻拔掉数据线，在路由器上封掉那个陌生地址，改掉Wi-Fi密码和银行App登录信息，再把充电宝送到维修店拆开。
 
外壳撬开后，里面的景象和大容量电池完全是两回事。
 
真正的电芯只有3个，加起来大约9100毫安时，连贴纸上标称容量的1/3都不到；空出来的位置塞着灰色泡沫，机身上还粘着2块金属配重块，专门用来压出手感的分量。
 
底部绿色主板上焊着64GB闪存芯片、带天线的Wi-Fi模块，两根线直接接到USB端口的数据针脚上，电路读取手机数据、存进闪存，再通过Wi-Fi发出去。维修师傅说，这个月摆在他工作台上的，已经是第3台这样的设备。
 
整件事最值得琢磨的不是设备做工多精巧，而是一个最朴素的道理：充电宝天生只该做供电这件事，凡是在供电之外还想读取手机、自己联网、向外发送内容的，都已经越过了本分。
 
人们为便宜的价格买单，图的是方便，可看不见的成本最后常常落在隐私上。
 
杂牌产品把电池容量和安全用料一层层减掉，外壳里腾出的位置，就被别的东西填了进去。
 
买这种产品的人，交出去的不只是19美元，还有手机里的联系人、照片、证件信息和账户安全。
 
通讯录、证件照、应用名单加上设备序列号，凑在一起就足以拼凑身份，银行App和联网密码更是直接关系到账户里的钱。
 
一个充电盒一旦被允许读取这些内容，它和一台小型电脑之间就没有多少距离。
 
真正需要警惕的，是来路不明、价格低得反常、做工粗糙的设备，以及插上之后手机弹出的任何授权询问。
 
正常充电宝不会向手机要权限，更不会询问要不要信任这台电脑；这种弹窗本身就是一道分界线，碰到了就该选不信任，把数据线拔掉。
 
从挑选环节开始，主动权就该握在自己手里。购买充电宝走正规渠道，认准3C认证标识，不碰地摊、流动摊贩和二手平台上没有来路、没有标识的设备。
 
随身带一根只供电、不传数据的充电线，在外不借陌生人的充电宝，连上后到手机设置里撤销对陌生设备的信任。
 
密码定期更换，银行类应用单独设置更复杂口令，证件截图不随意存进手机相册。
 
这些动作看着琐碎，对应的却是最实际的一层防护：让一件本来只该供电的小东西，始终停留在供电这件事上。
 
合规产品在电芯、电路板和认证上都有明确要求，不合格产品被监管拦下后，仍有部分通过灰色渠道流回线上平台和线下村镇店铺。
 
被改动过的充电宝可能内置获取手机数据的程序，连接之后联系人、短信、照片、视频都可能被回传，隐私和财产安全同时暴露在外。
 
对陌生的充电设备保持戒备，是每个人自己能做好的第一道防线。
 
一台19美元的杂牌充电宝，撬开之后让人看到的是一条被简化过的链条：用配重和泡沫凑重量，用缩水的电芯压成本，再把数据读取和联网发送的电路塞进外壳。
 
链条的每一环都指向同一个缺口——使用者放松了警惕，把本该只供电的物件当成了可以完全托付的东西。

守住这个缺口，靠的不是事后追查，而是事前挑选时多留一个心眼，插上之后多看一眼弹窗，把不信任留给陌生设备，把便利留给正规产品。