27.73％的移動應用正在竊取用戶隱私！

萬物互聯的大數據時代，人們通過讓渡部分個人信息使用權來獲得更多的生活便利。然而，大數據畫像漸漸成為盜取信息的隱蔽後門，「以隱私換便捷」現狀助長了移動應用不受限的越界獲取核心隱私許可權，此外，移動應用目前還面臨病毒木馬入侵、惡意軟體、後門軟體，惡意網頁等諸多安全問題。

通付盾移動安全實驗室最新發布《2018年一季度移動應用安全態勢報告》（簡稱《報告》）從移動應用數據安全出發，以「隱私數據保護之殤」為主題，揭示2018年一季度移動安全整體態勢，希望引起用戶對移動互聯網安全的重視，保障中國移動互聯網的安全。

以下為《報告》精彩全文：

一、移動應用安全概覽

一季度，通付盾全渠道應用監測平台共發現惡意應用3,509款（1月新增848款、2月新增1,065款、3月新增1596款），主要以資費消耗、信息竊取及流氓行為等惡意類型為主；同時我們還發現，部分移動應用越界獲取用戶隱私許可權問題突出，尤其工具類APP獲取用戶核心隱私許可權現象普遍。

(一)惡意應用增長趨勢

一季度新增惡意應用共計3,509款（1月新增848款、2月新增1,065款、3月新增1596款），惡意應用數量增長的同時，攻擊招數也在不斷進化：不少病毒程序製作者使用加密平台對自身進行加密保護；小程序的走紅也為黑客們提供新的攻擊平台，各類小程序外掛泛濫；比特幣瘋狂期各類挖礦木馬層出不窮，用戶在不經意間，手機變成挖礦機。

圖1一季度新增惡意應用趨勢圖

(二)惡意應用行為分布

一季度，資費消耗（佔比29.77%）、信息竊取（佔比27.73%）及流氓行為（佔比22.65%）三類佔比最高。尤其以WiFi蹭網類惡意應用行為最為突出，大部分用戶在享受應用帶來「便利」的同時，未注意到程序可能通過某些途徑來獲取個人信息，包括姓名、生日、身份證、住址、電話號等，用戶核心隱私許可權正在遭竊取。

圖2一季度新增惡意應用類型佔比圖

(三)惡意應用地域分布

通過對惡意應用進行地域追蹤發現，惡意應用主要分布在北京、廣東以及福建等經濟發達地區。其中，北京地區發現的惡意應用數量最多，一季度共新增1647款惡意應用。惡意應用整體分布TOP5情況如下圖中所示：

圖3一季度新增惡意應用地域分布TOP5

二、移動應用隱私安全專題

進入移動互聯網時代，企業往往存儲著大量用戶信息資料，《網路安全法》的第二十一條對數據安全作出明確說明：網路運營者應當按照網路安全等級保護制度的要求，防止網路數據泄露或者被竊取、篡改。這充分說明了企業數據安全、企業信息安全已經成為關乎國計民生的重要方面。

以下將從信息竊取類惡意應用、移動應用越界獲取用戶隱私狀況等角度，詳細闡述2018年一季度移動應用用戶隱私信息安全狀況。

(一)信息竊取類惡意應用分析

一季度全網共發現信息竊取類惡意應用總計975款，佔全網惡意應用的27.73%，這些惡意應用通過某些途徑來獲取個人信息：包括姓名、生日、身份證、住址、電話號等，隱私政策中使用用戶信息，向用戶進行惡意廣告，侵害用戶合法權益。以下將從信息竊取類惡意應用、移動應用越界獲取用戶隱私狀況等角度，詳細闡述2018年一季度移動應用用戶隱私安全狀況。

1.信息竊取類應用行業分布

從行業分布來看，遊戲娛樂行業的信息竊取類惡意應用最為集中，佔到所有行業的49.46%，行業內如「笑話島」、「盜墓的空間」、「鑽石消消樂」等多款APP存在竊取用戶信息、強行捆綁推廣應用軟體等突出問題。生活服務行業應用信息竊取現象同樣嚴重（佔比25.27%），一些網路公司瞄準美團外賣、餓了么等生活服務類應用，專門「扒取」用戶訂餐信息，打包出售給電話銷售公司。

圖4信息竊取類惡意應用行業分布

2.信息竊取類應用市場分布

各大應用市場均有信息竊取類惡意應用蹤跡。其中數量最多佔比最高的前十個移動應用市場分別是：應用寶（437）款、安智市場（198款）、豌豆莢（143款）等。

圖5信息竊取類惡意應用市場分布TOP10

3.典型信息竊取類應用案例分析

WiFi解密鑰匙該應用（版本號：2.0）是一款自動獲取周邊免費Wi-Fi熱點信息並建立連接的android手機工具。裝機量超過5000萬，影響用戶範圍廣泛。

(二)越界獲取用戶隱私許可權狀況

隨著智能手機的普及，諸多具有形形色色功能的APP在應用商店上架並被下載。不經意間，某些「越界索權」的APP就會侵犯用戶的合法權利，甚至造成嚴重的財產損失。手機應用越界獲取用戶隱私許可權會帶來巨大的安全風險隱患，如隱私信息被竊取、用戶信息被用於網路詐騙、造成經濟損失、手機卡頓現象嚴重等。

三、總結

隨著雲計算、大數據時代的到來，越來越多的企業和機構擁有搜索個人信息的能力，個人信息的使用、交互、跨境傳輸越發頻繁。大型互聯網公司、超級APP現在已可被視為基礎信息平台，如阿里、百度、騰訊等擁有數億用戶，如何應對黑客攻擊、惡意病毒、信息竊取等各類安全問題需要各方力量共同參與，同時，也要有相關的法律條款，對大企業的「霸王條款」、越界獲取用戶隱私許可權行為等進行規制。

《網路安全法》出台到具體落實，目前還有一些配套措施需要完善。2017年，在信息系統安全等級保護定級工作基礎上，為了配合《中華人民共和國網路安全法》要求，公安部發布《網路安全等級保護基本要求》（簡稱等保2.0）,以適應移動互聯等新技術、新應用情況下網路安全等級保護工作的開展，新標準針對移動互聯應用領域的個性安全保護需求提出安全擴展要求，形成新的網路安全等級保護基本要求標準。

圖16 《等保2.0》保護對象變化示意圖

未來，移動產業的發展帶來社會巨大變革，移動安全和威脅對抗逐漸進入新的階段：政府移動辦公應用數據將成為惡意軟體攻擊的重要目標；黑客可能攻破物聯網移動應用，獲取智能攝像頭的控制權及視頻數據等，造成隱私數據泄露；進入《等保2.0》時代的企業安全防護將更加主動，尤其人工智慧等新技術的應用，將輔助安全專家抹平從「監測到安全威脅」到補救的時間差。

GIF

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！