跳轉到

監控現在做得到什麼

「監控到底發展到什麼程度」的答案常在兩個極端之間擺盪。誇大會讓人覺得做什麼都沒用，輕描淡寫會讓人低估，兩邊都導向錯誤的決定。

先給兩個數字。廣告產業流通的一份受眾分類清單裡有 65 萬個分類，其中一個叫「覺得人生虧待自己」1。台灣的檢警在 2025 年聲請了 16,663 件調取票，涉及 147,422 條電話線路2。兩者的性質完全不同，需要的防護也不同。

以下按四層盤點各自的能力邊界：平台與資料掮客、電信商、國家與執法、商用間諜軟體。該做什麼，見 一般人平常該做到什麼。

怎麼讀這頁

  • 做得到不等於會用在你身上。 四層的單次成本相差幾個數量級。商業收集接近零成本，所以涵蓋所有人。商用間諜軟體一次授權動輒數萬美元，所以目標清單很短
  • 能力變得快，制度變得慢。 保存期限、令狀門檻這類制度性數字比技術現況穩定，判斷長期風險時優先看它們
  • 沒有證據不等於不存在。 以下只收錄有公開紀錄的部分，查不到的就寫查不到

本頁沒有涵蓋的兩種對手。 詐騙與帳號入侵是一般人實際最常損失金錢的來源，見 一般人平常該做到什麼。雇主配發的裝置、伴侶或家長裝在你手機上的追蹤軟體，成本低到只有幾百元或本來就內建，離多數人比國家級監控近得多，見 家暴受害者的數位準備。

跟站上其他分類的對應。 威脅模型如何建立 把對手分成六級，一般人平常該做到什麼 分成三種。本頁的第一層對應那兩頁的「平台業者」與「商業資料收集」，第三、四層對應「一國執法」與「針對性調查」，電信商則是前兩者共用的基礎設施。

平台、廣告與資料掮客

覆蓋範圍最廣的一層，每個人的邊際成本接近零，所以對象是所有人。

做得到

從行為推論你沒有說出口的屬性。 The Markup 在 2023 年 6 月取得廣告交易平台 Xandr 的受眾分類清單，共 65 萬個分類，供應者包含 Oracle、Experian、Acxiom 這類資料掮客，也就是本身不經營網站或 app、業務就是收集與販售個人資料的公司，其中 Oracle 一家就佔 36%1。多數分類平凡到有點好笑，例如「冷藏肉派的重度購買者」、「寵狗成癡的飼主」、「刺青上癮者」、「開速霸陸的車主」、「剛訂婚」。另外幾類就沒那麼好笑：「信貸吃緊的城市家庭」、「日子難過」（清單自己的描述是年長、低收入、族裔多元的單身者）、「容易洩氣的神經質」、「覺得人生虧待自己」，健康類還會依用藥與診斷再細分。依據是行為紀錄，不是你填過的表單。

清單本身是美國市場的產物，台灣沒有對應的公開清單可以比對。同一批資料掮客在台灣也有業務，但規模與分類細節查不到公開紀錄。

把不同 app、不同裝置上的你串起來。 手機號碼與 email 是最常見的接點，通訊錄上傳則讓沒有帳號的人也進入資料庫。機制見 社群平台怎麼收集你的資料。

關掉定位之後仍然知道你大概在哪。 IP 位址、連過的 Wi-Fi 名稱、基地台都能推得出概略位置。關掉 GPS 只拿掉公尺級精度，位置照樣推得出來。

目前沒有證據

常態偷錄音。 17,260 個 Android app 的自動化分析沒有找到偷錄音的證據，找到的是螢幕錄影外傳。推薦之所以準，來自上面那兩條，也就是行為紀錄與跨裝置串接，用不到麥克風也做得到，而且不會觸發任何權限提示。完整說明與 2024 年那份推銷簡報的事件，見 社群平台怎麼收集你的資料 的〈「手機在偷聽我說話」成不成立〉。

邊界在哪

推論做得到，開放給廣告主直接勾選是另一回事。Meta 在 2022 年移除了政治傾向、健康議題、性傾向、宗教等敏感類別的詳細目標設定3。限制的是對外販售的介面，平台內部的推論並未因此消失。

電信商

涵蓋所有持門號的人。紀錄自動產生，不需要對方對你有興趣。

做得到

通聯紀錄。 內容不在裡面，其餘都在。一筆紀錄大致長這樣：某日 21:04，你的門號撥給某個門號，通話 4 分 12 秒，當時連的是哪一座基地台。基地台的精度依密度而定，市區數百公尺，郊區可能數公里。內容有沒有加密不影響這一層，因為紀錄本身就在電信端產生。

回溯的長度由法定保存期限決定。 台灣的規定是市內通信最近三個月以內，國際與國內長途通信、行動通信最近六個月以內4。翻成生活語言：往回推六個月，你幾點離開住處、週末去了哪裡、哪一週突然跟誰密集通話，都還原得出來。超過期限，電信業者要以書面回覆無法提供，所以保存期限就是「事後才想追查」的時間上限。各地規定不同，值得查清楚自己所在地的期限。

做不到

電信商讀不到端對端加密的內容。Signal 這類工具的訊息在電信端只是密文。

也讀不到你在 LINE 或其他 app 裡的訊息。電信端看到的是你連上了那個服務，訊息內容與往來對象留在平台端，要取得要找的是不同的對象。電信通聯紀錄、網路連線紀錄、平台端的訊息紀錄是三件不同的東西，分屬不同的持有者。

國家與執法

要通過法定程序，因此有量的上限。以下以台灣為例。

監聽

監聽需先由法官核發通訊監察書。門檻是最輕本刑三年以上有期徒刑之罪，或法條列舉的特定罪名。核准有期限，執行完還要向法院回報5。一般案件不會走到這一步。

調取通聯紀錄

門檻低一級。原則上仍要向法院聲請調取票，但通訊保障及監察法對最輕本刑三年以上之罪，以及強盜、詐欺、恐嚇、擄人勒贖、毒品、洗錢等列舉罪名設有例外，檢察官或經其許可的司法警察官不必先經法院就能調取5。詐欺落在例外裡，而它正是一般人最可能牽涉到的案件類型。

實際規模

法務部的統計顯示，2025 年調取票聲請案件共 16,663 件，涉及電話線路 147,422 條2。對照台灣 2300 萬人口，比例不高，也遠不到可以忽略的程度。逐年數字見 法務統計資訊網，監聽的部分見司法院的 通訊監察統計。

向商業端取得資料

令狀門檻管的是向電信商與平台調資料。第一層那些資料掮客的商品在公開市場上流通，不受同一道程序約束。談監控規模時，這條路徑常常被漏掉。

人臉辨識

警政署的 M-Police 曾經可以拿戶役政相片即時比對人臉，2021 年 12 月因權責與法源爭議暫停，警政署當時表示會等法制完備再恢復7。查證時未找到公開的恢復宣布，現況以警政署公告為準。暫停的是戶役政相片的即時比對這一項，路口監視器等影像系統另有各自的法源與管理規定，不在本節範圍。

目前沒有證據

沒有公開紀錄顯示台灣存在全面即時的內容側錄。制度上的兩道限制是實在的：監聽要個案核發並向法院回報，通聯紀錄超過保存期限就調不到。

中國境內與香港

制度差異大到不能沿用上面的判斷。

商用間諜軟體

成本最高、目標最少，能力上限也最高的一層。

做得到

零點擊（zero-click）漏洞不需要你點任何東西就能植入。 裝置一旦被植入，端對端加密就不再提供保護，因為讀的是裝置上已經解密的內容，訊息在你自己看得到的那一刻同樣被讀走。

2026 年 7 月，Amnesty International 發表 Pegasus 架構的完整分析，依據是 WhatsApp 控告 NSO Group 的訴訟中揭露的內部行銷與技術文件8。同年 7 月 Citizen Lab 也公布一名前歐洲議會議員的 iPhone 在 2022 至 2023 年間至少三次遭 Pegasus 感染9。

為什麼多數人不在名單上

單次授權成本高，操作也需要人力，因此採購方會挑目標。全球已公開的個案數以千計，對照數十億支手機，落在多數人身上的機率極低。已公開的個案集中在記者、人權工作者、律師、政治人物與他們身邊的人。

幾個常見誤解

  • 關機就沒事：多數感染鏈不會常駐，重開機能清掉當次植入。要注意清掉的只是那一次，同一條攻擊鏈可以立刻再植入一次，重開機不構成防護
  • 換一支手機就乾淨了：換裝置對已植入的那一支有效，對再次被鎖定沒有幫助
  • 裝防毒軟體可以擋：一般消費性防毒對這一層沒有作用

一般人做得到的一件事

iPhone 的鎖定模式與 Android 的進階保護模式會關掉一批常被利用的功能，代價是部分功能受限。Apple 自己的說明寫得很清楚：多數人不需要，它是給可能被國家級或商用間諜軟體鎖定的人用的，例如記者、社運工作者、政府官員10。判斷自己需不需要，先看 威脅模型如何建立。

我怎麼知道自己有沒有被盯上

四層各有一個你自己做得到的動作。

  • 平台層：打開 Google 的「我的廣告中心」與 Meta 的廣告偏好，看系統推測你感興趣的主題，再用資料匯出看完整紀錄。做法見 社群平台怎麼收集你的資料 的〈直接看平台手上有什麼〉。這是全站最能讓人親眼看到自己被分類到什麼程度的動作
  • 電信層：向電信商申請自己的通話明細，看得到的範圍跟被調取到的大致相同
  • 國家與執法層：通訊保障及監察法第 15 條規定，監察結束後執行機關要陳報，由法院通知受監察人。有妨害監察目的之虞時可以暫緩，但要每三個月重新評估，原因消滅後仍應通知6。合法監聽在制度上留有事後被告知的路徑
  • 裝置層：檢查各服務的登入中裝置清單，開啟 AirTag 與 Android 的未知追蹤器警示。懷疑被植入商用間諜軟體時，找 Citizen Lab 或 Access Now Helpline，兩者都提供鑑識協助。Amnesty 維護的開源工具 Mobile Verification Toolkit（MVT）拿手機備份跟已知的入侵痕跡比對，需要一點技術基礎

哪個措施擋得住哪一層

先說讀法。你最可能面對的是左邊兩欄，前四列在那兩欄幾乎都有效。最右邊那欄的成本高到不會用在多數人身上，把它當成能力的上限，不是你的預期風險。

本表只涵蓋通訊與帳號面的措施。人臉辨識與實體監視器不在表上，詐騙與帳號入侵的對照見 一般人平常該做到什麼。

措施 平台與廣告 電信 國家與執法 商用間諜軟體
端對端加密 訊息內容擋得住，行為訊號與關聯照樣被收集 內容擋得住，通聯紀錄照留 內容擋得住，通聯紀錄可被調取 擋不住，裝置端已解密
VPN 換掉平台看到的來源 IP，帳號仍是你 電信商只看到你連上 VPN，通聯紀錄與基地台位置照留 擋不掉針對帳號的調取 擋不住
Tor 擋掉來源 IP 的關聯，登入之後仍然是你 電信商只看到你在用 Tor 擋不掉針對帳號的調取 擋不住
關廣告識別碼與權限 減少跨 app 關聯 無關 無關 無關
帳號分層 切斷部分關聯 無關 提高關聯成本 擋不住
保持更新 無關 無關 無關 提高成本，擋不掉零時差

分層要對應到你實際面對的那一層，判斷框架見 威脅模型如何建立。

本頁會過期

技術能力與法規都在變，人臉辨識的法制化進度與商用間諜軟體的個案尤其會動。本頁寫的是查證當下的狀態，每一條都標了日期，發現內容跟現況不符，歡迎到 社群 Matrix 公開 room 回報。

接下來

  1. From "Heavy Purchasers" of Pregnancy Tests to the Depression-Prone: We Found 650,000 Ways Advertisers Label You - The Markup，2023 年 6 月 8 日。報導依據的是廣告交易平台 Xandr 的受眾分類清單，資料供應者近百家。文中引用的分類名稱為該清單原文的中譯。查證日期 2026-08。 ↩↩

  2. 法務統計資訊網 - 法務部。114 年（2025）調取票聲請案件 16,663 件，涉及電話線路 147,422 條。同一頁可切換 110 至 114 年。查證日期 2026-08。 ↩↩

  3. Meta 於 2022 年 1 月宣布自同年 1 月 19 日起移除涉及健康、種族、政治、宗教與性傾向的詳細目標設定選項。查證日期 2026-08。 ↩

  4. 電信事業處理有關機關查詢電信通信紀錄實施辦法 第 5 條，2017 年 6 月 15 日修正。第一類電信事業的保存期限為市內通信最近三個月以內，國際、國內長途通信與行動通信最近六個月以內。查證日期 2026-08。 ↩

  5. 通訊保障及監察法。監聽的門檻見第 5 條，調取通信紀錄與其例外見第 11-1 條。查證日期 2026-08。 ↩↩

  6. 通訊保障及監察法第 15 條。執行機關應於監察結束後陳報，由法院通知受監察人。有妨害監察目的之虞或不能通知者得敘明理由，並應每三個月重新評估，原因消滅後仍應通知。查證日期 2026-08。 ↩

  7. 補強法規避爭議 警政署下令「M-Police」人臉比對暫下線 - 自由時報，2021 年 12 月。相關人權面討論見 公部門使用人臉辨識及監視器的隱私問題 - 台灣人權促進會。查證日期 2026-08，未找到公開的恢復宣布。 ↩

  8. The Pegasus Project - Amnesty International Security Lab。2026 年 7 月 16 日依 WhatsApp 對 NSO Group 訴訟揭露的內部文件發表架構分析。查證日期 2026-08。 ↩

  9. Citizen Lab，2026 年 7 月 3 日公布前歐洲議會議員 Stelios Kouloglou 的 iPhone 在 2022 至 2023 年間至少三次遭 Pegasus 感染。查證日期 2026-08。 ↩

  10. About Lockdown Mode - Apple 支援。Apple 說明鎖定模式屬於極端的選用防護，多數人不會成為此類攻擊的目標，適用對象是可能被國家級或商用間諜軟體針對的個人。Android 對應的是進階保護模式。查證日期 2026-08。 ↩