(網(wǎng)經(jīng)社訊)7月17日，工業(yè)和信息化部發(fā)文要求嚴(yán)厲查處“315晚會(huì)”曝光的信息通信領(lǐng)域違規(guī)行為。
第一，立即組織北京市、上海市通信管理局對(duì)涉事兩家SDK企業(yè)，進(jìn)行核查處理；
第二，立即組織第三方檢測(cè)機(jī)構(gòu)對(duì)曝光使用上述兩家SDK的50余款A(yù)pp進(jìn)行技術(shù)檢測(cè)，對(duì)存在問(wèn)題的App第一時(shí)間啟動(dòng)下架程序；
第三，立即啟動(dòng)應(yīng)用商店聯(lián)動(dòng)處置機(jī)制，責(zé)成國(guó)內(nèi)主要應(yīng)用商店，第一時(shí)間對(duì)類(lèi)似問(wèn)題進(jìn)行“地毯式”排查，對(duì)發(fā)現(xiàn)問(wèn)題一律第一時(shí)間予以下架，同時(shí)要求應(yīng)用商店及時(shí)通知App運(yùn)營(yíng)開(kāi)發(fā)者自查自糾，及時(shí)發(fā)現(xiàn)、處理違規(guī)收集用戶個(gè)人信息的SDK。
SDK是SoftwareDevelopment Kit的縮寫(xiě)，即“軟件開(kāi)發(fā)工具包”。簡(jiǎn)單來(lái)說(shuō)，它是輔助開(kāi)發(fā)某一類(lèi)應(yīng)用軟件的相關(guān)文檔、范例和工具的集合。對(duì)App來(lái)說(shuō)，可以將某項(xiàng)功能交給第三方來(lái)開(kāi)發(fā)以縮短周期。
據(jù)移動(dòng)支付網(wǎng)了解，具備強(qiáng)大功能的第三方SDK廣泛應(yīng)用在大量App的設(shè)計(jì)開(kāi)發(fā)階段，成為整個(gè)手機(jī)軟件供應(yīng)鏈中不可或缺的一部分。
近年來(lái)，App個(gè)人信息違規(guī)采集問(wèn)題頻現(xiàn)，企業(yè)往往將App個(gè)人信息安全問(wèn)題聚焦在自身代碼的開(kāi)發(fā)層面，很容易忽視App中集成的第三方SDK安全問(wèn)題，殊不知正是這些提供便利的第三方SDK正在背后插刀。
由于同一款SDK有可能會(huì)同時(shí)存在于不同款A(yù)pp當(dāng)中，用戶一款手機(jī)有可能同時(shí)被同一款SDK通過(guò)不同App收集用戶數(shù)據(jù)。這樣第三方SDK可以獲取大批量不同App的用戶數(shù)據(jù)。
第三方SDK可以通過(guò)挖掘用戶數(shù)據(jù)形成種種工具，如通過(guò)App的安裝情況以及獲取的用戶定位，繪制出熱力圖幫助線下店鋪選址；通過(guò)設(shè)備指紋信息算法信息，幫助App進(jìn)行智能獲客、智能營(yíng)銷(xiāo)。
以上是第三方SDK將流量變現(xiàn)的主要方式，屬于比較克制的利用。有安全公司指出，部分SDK會(huì)采用Android操作系統(tǒng)的熱更新機(jī)制，在集成環(huán)節(jié)偽裝成正常SDK，逃避集成方的檢查，而在應(yīng)用發(fā)布后運(yùn)行在用戶手機(jī)時(shí)，通過(guò)熱更新機(jī)制從SDK的服務(wù)端動(dòng)態(tài)加載惡意代碼。
惡意SDK有可能發(fā)動(dòng)惡意的攻擊行為，例如在用戶毫無(wú)察覺(jué)的情況下打開(kāi)相機(jī)拍照，通過(guò)發(fā)送短信盜取雙因素認(rèn)證令牌，或?qū)⒃O(shè)備變成僵尸網(wǎng)絡(luò)的一部分。
2018年4月，騰訊安全反詐騙實(shí)驗(yàn)室的TRP-AI反病毒引擎捕獲到一個(gè)惡意推送信息的軟件開(kāi)發(fā)工具包(SDK)——“寄生推”，它通過(guò)預(yù)留的“后門(mén)”云控開(kāi)啟惡意功能，私自ROOT用戶設(shè)備并植入惡意模塊，進(jìn)行惡意廣告行為和應(yīng)用推廣，以實(shí)現(xiàn)牟取灰色收益。300多款知名應(yīng)用遭遇“寄生推”的病毒感染，其中不乏用戶超過(guò)千萬(wàn)的巨量級(jí)軟件，潛在影響用戶超2000萬(wàn)。
根據(jù)《網(wǎng)絡(luò)安全法》第四十三條、第四十四條規(guī)定：任何個(gè)人和組織不得竊取或者以其他非法方式獲取個(gè)人信息，個(gè)人發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營(yíng)者違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、使用其個(gè)人信息的，有權(quán)要求網(wǎng)絡(luò)運(yùn)營(yíng)者刪除其個(gè)人信息。
《網(wǎng)絡(luò)安全法》第六十九條規(guī)定，違反四十三條、第四十四條，可處以警告、沒(méi)收違法所得、處違法所得一倍以上十倍以下罰款，責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、關(guān)閉網(wǎng)站、吊銷(xiāo)相關(guān)業(yè)務(wù)許可證或者吊銷(xiāo)營(yíng)業(yè)執(zhí)照等。
7月16日，“315晚會(huì)”再次曝光手機(jī)超限違規(guī)收集個(gè)人信息情況。據(jù)央視報(bào)道，上海市消費(fèi)者權(quán)益保護(hù)委員會(huì)委托第三方對(duì)市場(chǎng)上的App進(jìn)行檢測(cè)，發(fā)現(xiàn)某些第三方開(kāi)發(fā)的SDK包存在違規(guī)收集用戶個(gè)人信息的情況。
上海市消費(fèi)者協(xié)會(huì)權(quán)益保護(hù)委員會(huì)檢測(cè)了50多款A(yù)pp，這些App中帶有兩家公司的SDK：上海氪信信息技術(shù)有限公司、北京招彩旺旺信息技術(shù)有限公司。而50多款A(yù)pp中包含大量的金融App，如：國(guó)美易卡、美期分期、口袋錢(qián)包、九秒貸、趣花唄等等。
工信部發(fā)文之前，被“315晚會(huì)”點(diǎn)名的上海氪信信息技術(shù)有限公司發(fā)布聲明，稱(chēng)經(jīng)過(guò)上海氪信的內(nèi)部評(píng)估，認(rèn)為SDK技術(shù)有被濫用的風(fēng)險(xiǎn)。因此，在2019年年底前，上海氪信就已完全停用SDK技術(shù)。
據(jù)移動(dòng)支付網(wǎng)了解，上海氪信成立于2015年12月，是一家大數(shù)據(jù)AI平臺(tái)，已經(jīng)完成D輪融資。天眼查股東信息顯示，該公司的股東中包括了真格基金、深圳市招商局創(chuàng)新投資基金中心（有限合伙）、上海火山石一期股權(quán)投資合伙企業(yè)（有限合伙）等，2019年10月，浦發(fā)銀行上海信托旗下的金融科技基金亦入股上海氪信。
公開(kāi)資料顯示，發(fā)展至今，上海氪信已成為工商銀行、建設(shè)銀行、交通銀行、招商銀行、浦發(fā)銀行等國(guó)內(nèi)領(lǐng)先金融機(jī)構(gòu)AI升級(jí)的重要合作伙伴。
