北京丰台的王先生遇到过一次很典型的“手机失控”：他按电话那头的指引下载了一个叫“云议宝”的软件，打开手机银行后，屏幕突然黑了。一分钟后屏幕亮起，他不知道对方做了什么。民警后来发现，那是个带远控和录屏功能的木马，还顺手把他的手机设成了呼叫转移——反诈民警连打几个电话，都打不进去。央视网
这类案子里，手机不是“可能被监控”，而是正在被直播。你输入的每个密码、收到的每条验证码，对方都同步看见。上海一位阿姨被诱导开了屏幕共享，卡里60万元已集中到一张卡上；另一位阿姨被要求举着手机照镜子，警方判断，骗子极可能想用镜面反射骗过人脸识别。这些不是电影情节，是警方通报过的案子。
所以第一步不是查App，也不是恢复出厂设置，而是先让手机断线。警方给的处置很具体：先试着关机；黑屏关不掉，就把SIM卡拔出来。 拔卡的同时，还要切断家里的Wi-Fi。上海警方的说法更直接：立即设成飞行模式，关掉流量，或者直接关机。 远程控制靠的就是网络，网一断，对方的手就停了。央视网人民网
断网之后，先保住钱和账号。用另一台安全的设备或座机给银行客服打电话，冻结或挂失涉事银行卡；在那台设备上改支付密码、Apple ID、Google账号和微信密码，在账号的“登录设备”里踢掉不认识的设备，打开双重验证。 很多人以为换台手机就没事，但如果对方握着的是你的账号，新手机登录回去，他照样看得见。知乎
证据要在这时候留：异常登录记录、陌生App、流量明细、转账记录，截图并记下时间。有做排查工具的人提醒，恢复出厂设置是最后手段，它会毁掉证据，对账号被人登录也毫无作用。 如果装软件的人就住在你身边，贸然删改还可能惊动对方；先确保人身安全，再想下一步。知乎
最后才是清手机。在这之前或之后，打110报警；如果涉及转账、被骗，也可以先拨96110咨询。96110是公安部、工信部联合推出的全国统一反诈预警劝阻专线。人民网
上个月上过热搜的“3步自查”可以做，但它回答的是“像不像”，不是“安不安全”。发热、耗电快、流量涨，这些表现本身不是证据。 更值得查的是账号和设备两条线：登录设备里有没有陌生设备，iOS有没有没装过的描述文件，安卓的无障碍权限有没有被陌生App打开，状态栏有没有“正在共享屏幕”的提示。有人评价得很准：三步自查最危险的，可能不是查不出，而是让人以为查完就安全了。小红书微博
止损的第一步，是先把正在漏的口子堵上。断网、保号、留证，然后才是清手机。顺序反了，越“处理”越被动。
