斩断APP吸费和窃取用户隐私的毒瘤

【 曹天鹏/钛媒编辑】一个备受争议的晚会，央视“3.15晚会”，除了一些无厘头的打假，还有没有有价值的信息？其曝光了大部分移动应用（APP）存在私自获取手机用户个人信息的行为究竟怎么回事？在这些隐私信息中，位置信息成第一获取目标，联系人、通话记录、短信记录这些敏感隐私信息读取普遍。除此之外呢？隐私用来干嘛？这一系列也都形成了一个未知的环。

在“3.15”之前，DCCI互联网数据中心（以下简称“DCCI”）发布了《2013移动隐私安全评测报告》。报告显示，高达66.9%的APP拥有获取用户隐私的权限，34.5%的APP涉嫌过度收集用户隐私行为，即APP除了获取本身功能需要的数据以外，还收集其本身不需要的其他数据。

实际上，据钛媒体小编了解，APP不止收集用户隐私，还乱扣手机话费、植入恶意广告，游离于法律的灰色空间，业已形成一条黑暗的隐形暴利链条。

黑色产业链：恶意软件吸费

在大量的APP软件中，手机游戏和内置广告插件等恶意软件，存在吸费、吃流量、偷发短信现象最严重。

据一位知情人士向钛媒体透露，像吸费这种现象在地级市以下的地方更严重，尤其是那种千元智能机或更便宜的山寨智能机被安装了大量吸费的手机游戏，都是盗版和仿冒下载量较高的游戏，比如在山寨版的《愤怒的小鸟》、《神庙》等游戏中内置扣费插件，用户下载后插件就会暗中扣费。

一般都是游戏前10关不要钱，到了10关以后就开始扣费了；或者帮用户订制增值业务短信。“不经过你的同意，它就会神不知鬼不觉的扣掉你的钱，唰唰唰几十块钱很快就没了。”

还有就是内置广告插件吸费。该知情人士认识的一个朋友，2011年在深圳给手机刷机，每天大概能出到15万台，每台手机里刷20个应用里就有一半在推广告。“那些APP开发者主动找到他，给他钱让他帮忙在APP里内置广告插件，这个手机一刷完全是数据广告，等于说就变成了一个肉鸡。”

当用户在使用这些应用时，内置广告就会通过联网下载和刷新，闷声不响“吃流量”，什么都没干，流量就没了。“这是整个产业链条比较黑暗的一条，但这也是很多做APP的被逼无奈，因为要靠这个赚钱的。”

除了上述扣手机费、吃流量的现象，还有偷发手机短信的。

很多恶意软件，它会通过你的手机给你通讯录里的联系人发垃圾信息。它非常智能，会查看你手机套餐里发了多少条短信，还剩多少条没用完。查看完以后，它只发你手机里剩下的这些短信，不会额外扣你的话费，这个你一般也不会察觉。

“它会检测到你的手机是不是锁屏。如果你的手机是锁屏，说明你没有在用手机，它会趁机把短信发出去，发完之后还会删除，这个你完全看不出来，完全可以做到用户不知情。”上述知情人士说。

在LBE安全大师COO高偌薇看来，更可怕的事情还在后头呢，有些恶意软件在用户发现之后还能卸载掉，有些变种的恶意软件，即便卸载也未必能完成清除，还会继续在后台“为非作歹”。

如复旦大学计算机系统与安全专家杨珉在接受《新民晚报》采访时分析的那样，许多用户下载的热门应用软件，其实已经被动过手脚了，软件里被重新打包了一些恶意代码。

“这种代码可以让手机在用户未授权的情况下，通过发短信或者链接指定的扣费网站，为机主订购不同类型的手机业务。它最厉害的地方在于，可以屏蔽掉扣费业务发送给用户的扣费确认短信。”

正常的业务模式中，手机短信正常扣费需要经过“询问是否订购业务、服务器反馈、最终确认扣费”这三个步骤，但在上述恶意APP上，用户一个也步骤也收不到，即便遭受了经济损失也还会完全蒙在鼓里。

灰色地带：APP“越轨”抓取用户信息

事实上，在恶意软件吸费、吃流量和偷发短信的同时，还有许多用户自认为“安全”的APP也在悄悄地抓取用户个人信息。

《2013移动隐私安全评测报告》显示，通过对中国各类安卓市场下载量前1400位的应用进行了相关调查，高达66.9%的APP拥有获取用户隐私的权限，34.5%的APP涉嫌过度收集用户隐私行为，即APP除了获取本身功能需要的数据以外，还收集超出本身功能之外的其他信息。

在这些隐私信息中，位置信息成第一获取目标，联系人、通话记录、短信记录这些敏感隐私信息读取普遍。

在DCCI互联网数据中心创始人胡延平看来，有些APP获取用户信息是为了应用本身功能所需，可以理解；但有些APP除了获取本身功能需要的信息以外，还会获取更多其它信息，这是难以理解的。“就好比一款拍照软件，本来是用来拍照的，但它还要去读取你的位置信息、通话记录；一款闹钟软件会去读取你的短信记录、联系人。”

这在安全厂商看来，手机软件到底有没有“越轨”窃取用户过多信息很难辨别清楚，这被安全厂商称为“灰色地带”。比如读取位置信息和通信记录的拍照软件，很可能是要在拍照完之后分享给其他人；读取短信记录的闹钟，它可能未来要增加更多短信相关的功能。为了推动整个产业的发展，只要开发者给出合理的理由，就无法拒绝他调取用户权限。

就算是用户为防止个人信息泄露，要卸载这些软件或者禁止这些软件使用自己的这些隐私权限时，仍然没有办法，因为大部分手机只有经过ROOT之后才被允许。（ROOT就好像是手机系统中唯一的万能用户，拥有系统中所有的权限，如启动或停止一个进程，删除或增加用户，增加或者禁用硬件等等。）这也正是安全厂商的为难之处，受ROOT权限限制只能提醒用户哪些权限遭到滥用，而不能前去禁止。

即使在ROOT之后用户可以限制软件使用某些权限，但这又会带来新的安全隐患，“恶意插件”攻击的对象往往面向的是ROOT之后的安卓手机用户群。只要联网，APP在网络数据交互的过程中就可以得到任何提交过来的用户信息，包括用户通讯录、信息、邮件、账号等所有隐私信息。

对此，安全厂商建议用户不开启ROOT权限。在高偌薇看来，如果手机被ROOT，或者没有安装安全杀毒软件，而用户想要禁止手机软件抓取个人信息，几乎没有解决方案。

隐形利益链：移动广告公司是黑手？

尽管开发者为调取用户隐私权限想尽各种理由，但很难有说服力。在高偌薇看来，近40% 的APP涉及滥用权限的问题，不能单凭开发者的解释就能为自己洗脱罪名。如何来鉴别这些应用访问了一些过度的权限，这涉及到对整个大数据的分析。

据高偌薇所在的LBE安全大师公司分析，确实有相当一部分APP被冤枉了。据他们的备案显示，滥用权限其实不是开发者自身直接造成的，而是他们滥用第三方广告插件造成的。

在她看来，收集用户隐私信息的主要黑手为移动广告公司。为了赚取应用内置的广告费用，APP开发商会与移动广告平台签署协议，在应用中内置广告代码，真正作恶的正是这些代码，有广告商利用应用安装时获得的权限，大量读取用户信息，并上传至自己的服务器。

“可能很多APP一开始并没有涉及到地理定位这个权限，但可能在加了一批我们现在能检测到的，最起码国内四五十家的广告SDK，这么多SDK重合到一起最终导致这个APP过多地访问了用户的定位权限、通信记录权限或者说联系人的权限。”她说，“所以在我们看来滥用权限是由这些SDK强加给APP莫须有的罪名。”

但事实上，APP和广告商是不可分割的一体，双方相互依存，不能说是谁背负了谁的罪名。

在安卓应用中，除了一些手机游戏公司赚到钱外，单纯的功能型APP赚钱的很少，其生存模式就是靠各种形式的广告——弹窗、垃圾短信、推荐安装软件找推广方结算推广费等；而广告商依靠安卓应用抓取用户信息，将用户的联系人、短信、通话记录等进行综合分析，作出判断，从而进行精准的广告投递，并以此谋利。

谷歌安卓的开源和免费给一些投机分子提供了可乘之机。

智能手机中安卓为何成为吸费和泄露个人隐私的重灾区？中国红麦软件总裁刘兴亮此前发文称主要有以下三点。

首先，都是“开放”惹的祸。苹果是封闭的，所以苹果出现“吸费门”和泄露个人隐私的概率就会小很多。谷歌推出安卓平台之初，就赋予其完全开放的特性，这一方面降低了手机厂商的使用门槛，也便于更多的应用开发者加入这一阵营之中。然而，开放性与安全性之间本来就是矛盾的，安卓平台并没有Symbian平台一样的第三方签名认证机制；应用商城过多，缺少对上架应用程序进行安全审查的机制与工具。因此，在应用中置入后门程序也变得更加容易。

其次，谷歌当初开发手机操作系统的时候，并没有考虑到中国市场，对系统的短信和网络控制能力很薄弱，一般的程序都能调用。谷歌实在想不到中国的SP增值业务会这么猖獗，并导致安卓在中国被恶意程序扣费和泄露个人隐私这么严重。

再次，安卓系统面世的时间较短、版本也十分混乱，这也使得其软件底层的漏洞较多，为黑客植入病毒和恶意程序提供了空间，被不法分子盯上。目前，网络上大量热门的安卓第三方应用商店也多为个人打造，存在较多的安全隐患，并且缺乏有效的监管、审核机制。这也吸引了一些小软件开发商的进入，他们会选择在受欢迎的应用中加入恶意代码。好在，谷歌目前已意识到这一点，在最新的版本中做了改进。

解决之道：如何杜绝吸费和隐私泄露

如何才能杜绝吸费和用户隐私泄露事件再次发生呢？

一是要强化标准和监管。这方面，杨珉给出了三点建议：

首先，要有移动终端隐私数据分级、应用程序收集和使用隐私数据应有标准；二要有相应的技术检测手段，智能APP程序发布、审核等方面应有国家安全技术标准和测评机制；三要有追惩机制，制定相应的法律法规与管理办法，明确告知开发者和运营商，能做什么和不能做什么，比如要求应用程序显示声明对用户隐私数据的收集行为，并要求收集者承担对这些数据的保护和不扩散的责任。

去年年底，工信部已决定建立评估体系，对智能APP程序、内置软件进行评估和抽查，将第三方平台纳入管理，逐步完善备案、审核、监督、抽查等管理环节，督促服务提供商和内容提供商加大自我清查，整治恶意APP暗扣费等现象。

二是要加强行业自律。

作为既得利益者，运营商必须把好关，这是堵住非法“吸费”和用户隐私泄露最直接、最有效的途径。运营商可以切断利益链条中核心的利益一环，针对安卓平台的特点，采取针对性的打击措施，切断吸费公司的收入来源，让依靠垃圾广告获利的方式无利可图。

各个APP开发企业也要强调自律，不赚黑心钱。用户并非专业科技人士，往往并不清楚各种APP的使用说明，也很难发现其中隐藏的吸费或窃取隐私的陷阱。

三是要培养公众的危机意识，避免上当。

在上述建议无法立刻起作用之前，安卓官方以及媒体应该对用户进行教育，避免上当事件发生。

对此，刘兴亮认为，用户也要加强隐私保护意识。对于一个安卓用户来说，最简单最安全的办法就是到谷歌官方的应用程序商店下载软件，官方的有审核，扣费程序难以通过，是最安全的。除了谷歌官方应用商店，其他的也必须要选择正规的渠道下载应用，如到运营商、知名手机品牌以及第三方的应用商店等。用户切勿轻信“破解版”、“完美修正版”等经过二次打包的手机软件、手机游戏、歌曲、音乐、电子书等，谨防其中埋藏手机病毒。

如果非法“吸费”和用户隐私泄露的问题不能解决，安卓平台显然将遭遇危机。在胡延平看来，谷歌现已认识到问题的严重性，诸多动作表明其正在收紧安卓平台。如果谷歌像苹果那样形成一个封闭的生态系统，建立自己的应用商店，那么谷歌将亲自上阵审核APP，到时第三方安全厂商和应用商店恐难以再继续“陪玩”下去。