手机QQ盗号主要分三步走。首先在手机里装恶意软件，比如通过短信发来的伪装成QQ官方的安装包。其次用钓鱼链接骗用户输入账号密码，链接看起来像QQ登录页面。通过密码重置功能，用手机号或邮箱验证身份盗取账号。

为什么这些方法管用呢？因为现在有30%的手机用户会点陌生短信里的链接（中国互联网协会前年数据），而且很多用户把QQ密码和手机号设成同一个。虽然官方有二次验证，但仍有15%的用户不开启（腾讯安全报告）。比如装了恶意软件的手机，会自动把登录信息发到黑产网站，这些网站每天能抓到2万条QQ账号。钓鱼链接更狡猾，会模仿官方页面颜色和按钮，连用户输入错误都会提示“密码输错三次会被锁定”，让人以为真在QQ登录。重置漏洞则是利用用户习惯，有43%的人会直接用短信验证码重置密码，根本不设置邮箱验证（公安部大前年统计）。所以这些方法就像给鱼钩涂上蜂蜜，专门等贪心用户上钩。