美国联邦调查局（FBI）与美国网络安全和基础设施安全局（CISA）近日联合发布安全提醒，警告iPhone用户关注iMessage在跨平台通信中的加密缺口，并建议美国民众尽量使用端到端加密的通信工具，以防范间谍软件攻击和信息窃取。
这份警报发布的背景，是近期多起针对WhatsApp、Signal等社交与通信平台的大规模黑客行动，攻击者成功渗透了部分美国用户的私人消息和通话记录。虽然iMessage在苹果设备之间的通信通常具备端到端加密能力，但当iPhone用户向Android设备发送消息时，相关文本往往会降级为传统短信（SMS）传输，而这类通信并不具备完整加密保护，因此更容易遭到拦截。
跨平台短信成为核心风险点
CISA在警告中明确指出，当前最关键的建议之一是：不要使用iPhone与Android之间的普通短信通信。原因在于，这类消息并非完全加密，一旦遭遇攻击或通信链路被监听，用户数据就可能面临泄露风险。
报道提到，iMessage在美国市场拥有较高渗透率。根据2024年年中的一份报告，超过一半的美国智能手机用户使用iPhone，而在这部分人群中，有26%会使用iMessage。Meta首席执行官马克·扎克伯格甚至将iMessage视为其在美国市场的最大竞争对手。这意味着，一旦iMessage相关通信链路暴露安全短板，潜在影响范围可能相当广泛。
尽管Android阵营已在RCS协议中测试端到端加密方案，但苹果方面尚未确认何时会为类似跨平台消息提供相应保护。由于iMessage还是iPhone默认且核心的短信入口，若缺乏足够替代方案，一旦该通信体系遭遇系统性攻击，大量iPhone用户都可能同步暴露于风险之中。
监管与安全机构为何再次发声
事实上，这并非美国安全机构首次就短信安全问题发出警告。去年，FBI与CISA就曾因与中国有关联的网络行动“Salt Typhoon”发布类似通知。该行动曾成功获取私人对话和短信内容。美国参议院情报委员会主席马克·华纳甚至将该事件称为“美国历史上最严重的电信黑客攻击”。
CISA网络安全执行助理主任Jeff Greene在说明中强调，加密是最有效的防线之一。即使攻击者能够拦截数据，只要通信内容经过端到端加密，对方也难以直接读取。这也是为何美国网络安全官员建议公众尽量避免标准短信，转而使用Signal或WhatsApp等加密通信应用。
从政策角度看，这一警告也再次触及苹果生态系统长期存在的“围墙花园”争议。美国司法部此前在关于苹果生态的报告中批评称，iPhone短信系统缺乏充分替代选择，可能让用户在风险事件发生时缺少更安全的切换路径。
风险并不只限于苹果设备
值得注意的是，此次安全讨论并不意味着WhatsApp或Android设备完全安全。CISA同日提及的其他漏洞显示，整个移动通信生态都面临持续性威胁。
例如，维也纳大学研究人员在11月初披露，WhatsApp注册功能存在缺陷，研究过程中他们仅用30分钟便抓取了3000万个美国电话号码。在进一步研究中，研究人员还能够接触到全球35亿用户号码相关数据，其中约57%的用户设置了公开头像，另有29%的账户可查看个人简介文本。这说明，即便是主打加密通信的平台，也可能在账户注册、元数据暴露等环节出现安全短板。
此外，网络安全公司Unit 42披露，一项名为LANDFALL的间谍软件活动曾针对三星Galaxy设备展开攻击。该攻击利用三星图像处理库中的零日漏洞CVE-2025-21042，可通过WhatsApp发送的图片入侵设备。根据披露，该恶意程序自2024年年中起活跃，能够在无需用户交互的情况下实现对设备的全面监控。
研究还指出，攻击样本甚至曾隐藏在iOS图像样本和DNG文件中，部分文件名显示为WhatsApp上传格式，如“IMG-20240723-WA0000.jpg”，溯源地点涉及摩洛哥、伊朗、伊拉克和土耳其，时间跨度从2024年7月至2025年初。与此同时，Google Chrome图形处理组件WebGPU中的越界写入漏洞CVE-2025-12725也被用于配合相关攻击链。
对市场与用户行为的影响
从市场层面看，此次FBI与CISA的联合提醒，可能进一步强化用户对隐私、安全、端到端加密的关注，进而推动Signal、WhatsApp等安全通信应用获得更多下载和使用时长。对于苹果而言，外界或将继续施压其加快跨平台消息加密能力的完善，尤其是在RCS与SMS并存的过渡阶段。
对加密行业而言，安全与隐私始终是核心叙事之一。无论是Web3钱包、链上身份工具，还是去中心化社交应用，其竞争力都 increasingly 与“抗监控、抗泄露、用户自主管理数据”的能力挂钩。传统互联网通信平台接连暴露漏洞，也可能间接提升市场对隐私技术、加密基础设施以及安全协议的关注度。
短期来看，这类消息未必会直接推动加密资产价格波动，但会持续利好与网络安全、隐私保护、数据主权相关的技术赛道。对普通用户来说，最实际的应对方式依然是：避免使用未完全加密的跨平台短信，及时更新系统与应用版本，并优先选择经过验证的端到端加密通信工具。