不少人平时都有一个习惯，为了账号安全，特意设置很长、很复杂的密码，大小写字母、数字、符号混在一起，觉得只要密码足够复杂，账号和资金就不会出问题。还有一部分人认为，就算密码泄露，还有短信验证码这最后一道关卡，别人没有拿到自己的手机，就不可能登录账号、操作资金。
很多人忽略了一件事，验证码本身属于你的个人敏感信息，一旦手机里面的应用拿到对应的权限，收到验证码的一瞬间，软件就可以直接读取这条短信。哪怕你没有点开这个 APP，只要之前同意过权限，它就能在后台悄悄获取验证码。再强的密码，只要验证码被第三方拿到，所有防护直接失效。

为什么明明没点开软件，它还能读到验证码
很多手机应用安装的时候，都会弹出权限申请窗口。不少人嫌麻烦，看到弹窗直接点同意，根本没有仔细看这个权限到底是用来干什么的。
部分正规软件申请短信读取权限，初衷是为了方便用户。登录、注册的时候，收到验证码，APP 自动识别并且填充输入框，不用我们手动抄写数字，省去来回切换页面复制粘贴的步骤，提升使用体验。
但这个权限一旦放开，软件就拥有读取全部短信的能力，不只是它自己发送的验证码，银行、支付平台、别的网站发来的验证短信，它同样能够读取。
按照行业的规范，APP 只能在必要场景下申请相关权限，和核心功能无关的权限不应该随意索要。电信终端产业协会出台的标准里面就明确提到，没有自动填充验证码这类场景，应用不应该申请短信读取权限。
现实当中，有一些普通应用软件，本身不需要自动填写验证码，照样申请读取短信权限。更危险的是网上一些来路不明的小众软件，打着兼职、看视频、领福利的幌子，诱导用户安装，一旦用户把短信权限放开，所有验证码都会被这个应用获取。
这里还要区分两种读取验证码的方式。
第一种，读取手机完整短信。只要权限开启，手机收件箱里面所有内容都可以被读取。过去不少老版本安卓手机管控宽松，很多用户完全感知不到后台读取行为。
第二种，读取通知权限。就算没有开启完整短信权限，如果给了应用通知访问权限，手机顶部弹出的验证码通知，同样可以被抓取。

这也是为什么，有些用户明明关闭了短信权限，依旧存在验证码被读取的隐患。很多人只知道检查短信权限，完全不知道通知监听这个开关。
最高人民法院的指导案例已经明确，验证码属于公民个人信息，私自收集、转卖验证码，情节严重，就会触犯法律，构成侵犯公民个人信息罪，需要承担刑事责任。正规企业不会随意收集、留存用户验证码，但是一旦软件本身存在安全漏洞，或者被不法分子接手，你收到的验证码就有可能外泄。
强密码为什么挡不住验证码被盗
很多人把账号安全的重心全部放在密码上面，其实现在大部分账号都支持“验证码登录”。对方不需要破解你的密码，只要拿到手机号，再拿到有效的验证码，就可以直接登录账号，甚至修改密码。
举个很常见的例子。
你的银行卡、支付平台设置了非常复杂的支付密码，但是手机里面某个 APP 拥有读取短信权限。一旦骗子想办法控制这个应用，当平台发送重置密码、转账、身份核验验证码的时候，验证码直接被读取，骗子就可以远程完成后续操作。
密码相当于家门的锁，验证码相当于临时开门的一次性钥匙。就算门锁再结实，别人拿到这把临时钥匙，照样可以开门进去。
不少盗刷案例当中，受害者的手机一直放在身边，本人没有转发验证码，也没有点开陌生链接，最后账户资金出现异常，事后排查才发现，之前安装的一款冷门应用，一直拥有短信读取权限。
这里也要客观说明，绝大多数大家日常使用的主流正规软件，都有严格的隐私管控，不会私自留存、上传用户收到的验证码。风险主要集中在两类软件。
一类是小众、不知名的应用软件，从非官方渠道下载，没有经过正规应用商店审核。
另一类是很早之前安装，很长时间没有打开，但是一直保留全部权限的旧应用。
手机用了两三年，很多人装过几十款软件，有些软件早就卸载了，还有一部分软件几乎不再使用，但是对应的权限没有关闭，相当于家里装了很多你已经不用，但是还保留开门权限的钥匙。
这几个权限，和验证码安全直接挂钩
普通人不用学习复杂的网络安全知识，只要搞清楚三个权限，就能大幅度降低验证码被读取的风险。
第一，短信权限。
拥有这个权限，应用可以访问手机全部短信内容，是最直接、风险最高的一项权限。
除了银行、部分正规登录场景，绝大多数日常软件，短视频、购物、阅读、壁纸类软件，完全没有必要开启短信读取权限。就算它有自动填验证码的功能，这个便利，完全可以手动输入验证码来替代。
第二，通知访问权限（通知使用权）。
这个权限很多人都没听过，它的作用是读取手机所有弹出的通知消息。验证码弹窗属于通知，只要开启，软件就能看到屏幕上面弹出的验证码。
很多诈骗木马软件，就是依靠这个权限抓取验证码，不需要读取完整短信。
第三，剪贴板读取权限。
很多人收到验证码之后，习惯长按复制验证码，再切换页面粘贴。复制之后，验证码就保存在手机剪贴板。不少应用会后台读取剪贴板，复制过的验证码就有可能被获取。
现在新版手机系统，一旦应用读取剪贴板，一般会弹出短暂提示。
不要觉得只有病毒软件才会读取这些内容。一些普通软件，在用户不知情的情况下，也会申请上面这些权限。
分系统一步步检查，关掉不必要权限
不同品牌手机菜单名称略有差别，操作逻辑大体一样，大家可以对照自己手机慢慢找，花几分钟就能全部检查一遍。
安卓手机
打开手机设置，找到应用管理或者应用权限管理。
打开权限管理页面，找到短信权限，查看全部已经获得短信访问权限的应用列表。
挨个核对，只要不是银行、你经常用来登录的正规软件，全部关闭短信权限。
接着，在权限页面找到通知使用权（特殊应用权限里面）。
这里的软件尽量越少越好，不熟悉、不用的软件，直接关闭通知访问。
现在不少国产手机自带验证码安全保护功能。打开短信设置，找到验证码安全保护，开启之后，系统会限制第三方应用直接读取验证码，是一层很好的防护。不同品牌叫法略有差异，可以在短信、隐私保护板块查找这个开关。
最后清理长期不用的旧软件。如果某个软件已经好几个月没有打开，最好直接卸载，而不是留在手机里面。
苹果手机
苹果系统本身对短信读取管控相对严格，第三方 APP 不能随意读取全部短信。
但同样不能放松。打开设置，找到隐私与安全性，依次检查各个应用权限。
苹果没有直接开放完整短信读取给普通应用，但是依旧要注意不要随意安装企业签名、非 App Store 来源的软件。这类绕过官方审核的软件，风险会明显上升。
收到验证码之后，尽量不要复制粘贴，手动输入，降低剪贴板泄露验证码的概率。
几个长期可以坚持的习惯，守住验证码安全
关闭权限只是基础，结合下面几个简单习惯，能够进一步保护账号。
第一，不要随便从网页、微信群、朋友圈里面下载 APP。
很多诈骗案件，骗子会诱导受害者扫码，下载应用商店找不到的软件。一旦安装，很容易一次性拿到短信、通知等各类权限。路边扫码领礼品、领补贴，诱导下载软件，一定要果断拒绝。
第二，收到验证码的时候，就算自己没有操作，也不要把验证码发给任何人。
哪怕对方自称客服、银行工作人员、平台售后，凡是索要验证码，一律当作诈骗。正规机构不会通过电话、微信找用户索要短信验证码。
第三，不要把所有平台，全部只用同一个手机号接收验证码。
如果有备用手机号，一些不重要的账号，可以绑定备用号码。主要手机号尽量留给银行卡、支付软件、重要账号使用。
第四，重要账户，有条件可以开启二次验证。
不少金融平台支持独立的令牌、身份验证，不再单纯依靠短信验证码。相比短信，这类验证方式安全性更高。
第五，定期清理手机权限，半年左右打开权限列表重新检查一遍。
手机系统更新、软件更新之后，偶尔会出现权限状态变动，定期复查，避免不知不觉当中放开敏感权限。
客观看待，不用过度恐慌
看到这里，不用过度紧张，并不是说手机里面所有软件都在偷偷读取验证码。国内这几年对于 APP 权限的监管持续收紧，很多软件已经开始调整，不再随意索要短信、通讯录这类敏感权限。各大手机厂商，也在不断升级系统保护机制，限制应用后台私自读取验证码。
我们调整权限，本质就是平衡便利和安全。自动填充验证码确实省事，但为了这点便利，把全部短信开放给大量应用，得不偿失。手动输入六位数字，多花几秒钟，换来更高的账户安全。
很多安全问题，不是一下子爆发。大部分人都是安装软件的时候随手点同意，几个月甚至几年之后，遇到漏洞或者被黑灰产盯上，风险才会显现。
设置复杂密码、开启指纹和面容，这些防护手段都很好，但千万不要只盯着密码。验证码才是现在很多账号登录、资金操作最关键的一环。把手机里面多余的权限关掉，相当于把最后一道门牢牢锁上。
话题讨论
你平时有没有查看手机应用权限的习惯？手机里面有多少软件拥有短信读取权限？欢迎在评论区说说你的看法，大家一起交流手机隐私防护经验。觉得这篇内容对你有帮助，可以点个关注，后续持续分享实用的手机安全知识。
免责声明：本文仅为手机安全科普，不同品牌手机菜单路径略有差异，操作前确认应用属性，不构成专业安全方案。