Signal 消失消息并没有真的“消失”：一场 FBI 取证案暴露了 iPhone 上更隐蔽的隐私漏洞

404 Media 在 2026 年 4 月 9 日曝出一则消息后，很多常年在网上交流、依赖加密通讯工具的人，第一反应几乎都是一样的：Signal 出问题了？

事情听上去确实很吓人。FBI 在一宗案件的取证过程中，从一名被告的 iPhone 里提取出了 Signal 的来信内容。更让人不安的是，这些消息原本已经在 Signal 中消失，连应用本身都已经被删除。消息为什么还会留下来？是不是意味着大家一直信任的“加密通信”其实没有想象中那么安全？

恐慌也正是从这里开始蔓延的。有人担心 Signal 被破解了，有人开始怀疑“消失消息”根本不可靠，还有人直接把这件事理解成加密聊天软件集体失守。但事情并没有表面看上去那么简单。

事件回顾：出问题的不是 Signal 的本身

回顾这篇报道，这篇报道讲的并非是“Signal 被破解了”，而是在于另一层：真正留下痕迹的，是另一层很多人平时几乎不会注意到的东西：iPhone 锁屏上出现过的消息通知预览。正是这些曾经一闪而过的内容，被系统以通知数据的形式留在了设备内部，最后成了法证提取的一部分。

这也是这起事件最值得警惕的地方。它真正暴露出来的，未必是 Signal 本身的漏洞，而是智能手机在“方便用户”这件事上，可能顺手替人保留了多少原本以为已经消失的信息。

本文就从这里开始，完整拆解这起事件到底是怎么回事，它真正暴露了什么问题，以及为什么这件事不只和 Signal 用户有关。

这起事件发生在什么案子里

404 Media 报道说，这起取证出现在美国得州 Alvarado 的 Prairieland ICE 拘留中心相关案件中。案件背景是，一群人被指控在 7 月针对该设施燃放烟花、破坏财物，其中还有一名警员颈部中枪。报道还提到，这被称为是特朗普将“Antifa”这个 umbrella term 认定为恐怖主义组织后，执法机关第一次以相关“Antifa”活动提出指控的案件。

404 Media 采访了两类信息来源，一类是在庭审现场做笔记的支持者，另一类是被告 Elizabeth Soto 的律师 Harmony Schuerman。两边提供的信息能互相印证：FBI 特工 Clark Wiethorn 在庭上谈到证据时，展示了从 Lynette Sharp 手机中提取出来的一组 Signal 消息，而这些消息在 Signal 里原本已经设置为消失，并且实际上已经在应用里消失。

这就把整个事件的轮廓勾出来了。不是平台服务器吐出了聊天记录，不是云端备份泄露了什么，而是手机本地系统曾经保存过通知预览，后来被法证工具挖了出来。

FBI 到底是怎么拿到这些消息的

404 Media 文中给出的说法很具体。庭审旁听者转述称，如果用户在 Signal 里的设置允许消息通知和预览显示在锁屏界面，那么 iPhone 会把这些通知和消息预览存储到设备内部内存里。律师笔记里也写得很接近：只要通知弹出到锁屏上，Apple 就会把这些内容存进设备内部内存。

报道还引用了 Exhibit 158 的摘要。里面有一句很关键的话：这些消息是通过 Apple 的内部通知存储恢复出来的，Signal 虽然已经被移除，但 incoming notifications 被保存在内部内存中；而且“Only incoming messages were captured (no outgoing).” 也就是只有收到的消息被捕获，没有发出的消息。

把这几段拼起来，事情就很清楚了：

Signal 的消息在传输层仍然是加密的。
消息消失功能也没有被证明被远程绕过。
真正留下痕迹的是 iPhone 的通知预览。
FBI 获取这些内容的前提，是对设备有实体接触，然后再做法证提取。

很多人一看到新闻标题会觉得“完了，安全聊天软件也不安全”。严格说并不是这么回事。更准确的说法是：安全聊天软件，遇到操作系统层面的“方便机制”，会出现一条额外的泄露路径。

被恢复出来的为什么偏偏是“收到的消息”

这一点也值得单独说。404 Media 在文中说明，恢复出来的是 incoming messages。原因其实不难理解：推送通知本来就是别人发来消息后，系统弹给用户看的提示。只要锁屏上显示了发件人和部分正文，这段内容就有机会被系统以通知记录的形式留下来。发出去的消息通常不需要用同样的方式由系统推送回来，因此不会以相同路径留在通知数据库里。

这类细节很能说明问题。用户以为“我删掉了对话”，但系统保存的是另一份东西。它不是聊天页面本身，却能反向拼出聊天内容。很多数字取证案，真正有价值的证据往往就藏在这种边角料里。

404 Media 还点了另一个重点：这恐怕不止是 Signal 的问题

报道的原文写得很直接，这个问题很可能并不限于 Signal，而是更底层的摩擦：安全通信应用的设计逻辑，与 Apple 存储通知的方式之间，有天然冲突。

这句话的分量其实很重。

因为这意味着，这不是“Signal 某个版本的 bug”那么简单。只要某个应用允许在通知里显示姓名、正文摘要或者互动操作，而系统又会把通知记录留在本地，那么类似风险就可能存在。换句话说，真正值得警惕的对象，不该只盯着某一个 app，而是整套“消息到达手机以后，系统怎样帮你处理”的机制。

Signal 其实早就给过用户选项，只是大多数人不会去动

404 Media 在报道里顺带写到了 Signal 的通知设置。用户在 Signal 的 Notifications 菜单下，可以调整 Notification Content，选项包括 “Name, Content, and Actions”“Name Only” 以及 “No Name or Content”。报道也明确说，这起案件恰恰说明这个功能至关重要。

看起来只是一个小设置，背后却是两种完全不同的使用逻辑。

一种是图方便。锁屏一亮，就知道谁发来的、发了什么。

另一种是收紧暴露面。通知来了，只告诉你“有消息”，但不把内容交给锁屏，也不额外把敏感文字摊开在系统层。

平时绝大多数人都会选前者。因为它顺手，省事，看着也“正常”。但到了真出事的时候，这个默认选项反而最先变成漏洞。

这起事件真正还原出来的，是一条完整的泄露链

很多人对隐私泄露的理解还是太平面了，总觉得只有两种状态：要么安全，要么被黑。现实往往不是这样。这个案子其实给出了一条非常完整的链路：

第一步，别人把消息发到 Signal。
第二步，iPhone 为了方便，在锁屏上展示消息预览。
第三步，这个预览被系统以通知形式留在内部存储里。
第四步，用户后来把消息删了，甚至把 App 卸载了。
第五步，执法机构拿到手机实体，用专业软件做法证提取。
第六步，那些原本以为已经消失的内容，在别的地方被找回来了。

看下来就会发现，真正危险的从来不只是“消息有没有删除”，而是系统在这个过程中帮你保存了多少旁路信息。

为什么这件事会让普通 iPhone 用户也该紧张一下

有人看到这里会觉得，这不就是刑事案件里的极端例子吗，和普通人有什么关系。

关系很大。

因为大多数人当然不会遇到 FBI，但会遇到别的事：手机丢失，设备送修，被人临时拿到，电脑手机借给别人，边检抽查，职场里的设备审计，家里人顺手看到锁屏，公共场合被旁人扫一眼。对普通人来说，隐私泄露未必以“国家级取证”的方式出现，更常见的反而是这些不那么戏剧化、但更高频的场景。

而这起事件说明了一点：你以为自己在保护聊天内容，实际暴露出去的，很可能是通知、预览、缓存、同步记录、截图、备份这些外围层。

也就是说，很多人的隐私问题，不是输在加密，而是输在“手机太贴心”。

只盯着聊天软件还不够，隐私保护本来就该分三层看

这件事之所以值得写成长文，不是因为它让人重新评价 Signal，而是它把一个老问题重新摆了上来：隐私保护从来不是单点工程。

第一层是应用层。聊天工具本身的加密、消失消息、账号保护，这些都重要。
第二层是设备层。通知预览、锁屏展示、系统缓存、云备份、Face ID 和密码强度，这些决定了数据会不会在本地留下痕迹。
第三层是网络层。人在酒店、机场、商场、咖啡店、公司访客 Wi-Fi 下联网时，流量经过谁、有没有被中间链路观察、访问轨迹暴露多少，这是另外一回事。

这三层里，很多人只做了第一层，下意识认为装了 Signal，觉得够了，其实这远远不够。

网络这一层，恰恰是很多人最容易忽略的短板

虽然说这篇报道讨论的是本地通知残留，并非网络传输风险。但这不代表 VPN 不重要。恰恰相反，这件事更说明，隐私不能只靠一个聊天软件就解决了，隐私是全方位的事情。

聊天记录是一部分，网络暴露又是另一部分。很多人现在的真实使用方式是这样的：一边聊敏感内容，一边在公共 Wi-Fi 下登录邮箱、网盘、海外社交平台、AI 工具、支付页面，甚至顺手上传文件。这个过程中，聊天应用是加密的，不代表别的流量也天然安全。

尤其是经常出差、旅行、在外办公的人，酒店网络、机场网络、咖啡店网络，本来就不值得完全信任。这个时候，VPN 的价值不是一句空泛的“访问外网”，而是给网络层先套一层加密，让流量在离开设备之后少裸奔一段。

这起案件给普通人的真正启发

这件事的产生，会让每一个人认清一个事实：隐私不是某个单一产品的卖点，而是一套生活习惯。

把 Signal 通知内容关掉，是一部分。

把 iPhone 锁屏预览收紧，是一部分。

在不可信网络环境里全程走 VPN，是另一部分。

这几件事放在一起，才像真正的隐私保护。否则就很容易出现一种情况：手机里装着最强调安全的聊天软件，结果人在商场 Wi-Fi 上裸连邮箱和云盘；嘴上说重视隐私，锁屏却把验证码、消息正文、日程提醒全亮出来。那种状态，说白了只是“选了安全 app”，不是“建立了安全习惯”。

如果从这个角度去看，使用 365VPN 这种隐私保护工具就很好理解了。它当然不能抹掉 iPhone 本地通知记录，但它却能把网络传输这一层先加一层防护。

特别是这几年，越来越多人把工作、AI 使用、跨区服务访问、海外社交和个人账号都放在手机上完成，网络层已经不是附属问题，而是日常隐私保护的底板。

这起案件给普通人的真正启发

别再把“消息会消失”理解成“什么都不会留下”。

别再把“用了加密聊天软件”理解成“整个数字生活都安全了”。

也别再觉得通知、锁屏、网络环境这些小地方不重要。

404 Media 这篇报道真正还原出来的，是一个很典型的现代隐私困境：真正泄露你的，常常不是你主动保存的内容，而是系统为了方便，替你多做的那一步。

今天是通知数据库。

明天也可能是别的缓存、别的同步记录、别的系统日志。

安全这件事，一直都是这样。大漏洞很多人会防，小方便才最容易把人卖掉。

现在就该做的几件事

先把 Signal 的通知内容改成只显示名字，或者干脆不显示名字和内容。这个选项在报道里已经提到，而且正是它决定了锁屏预览会暴露多少信息。

再把 iPhone 的锁屏通知预览收紧，别让消息正文随便躺在屏幕上。

最后，把网络这一层补上。尤其是经常用海外服务、经常在外联网、经常处理个人账号和敏感信息的人，别再裸连。使用内置智能分流的 365VPN ，至少先把公共网络、跨境访问和日常传输这一段防护先打开。

这不是危言耸听。只是这次 FBI 的取证案，把很多人平时懒得管的细节，直接摆到了台面上。等到某天真出问题，再回头看这些设置，通常都晚了。