图片来源：视觉中国

　　原标题：3·15晚会曝光手机App泄露个人隐私信息，这只是冰山一角

　　文丨《中国企业家》 王雪琦

　　编辑丨齐介仑

　　“我家的智能机器人会不会一直在听我说话？”

　　自从智能机器人开始流行，葛健就经常接到朋友的咨询，“有些人为了防止泄密，不用的时候，就把机器人的插销拔了”。

　　葛健是360手机卫士的安全专家，经常去学校和电视台做网络安全方面的科普讲座。

　　有一次，他去一所学校办讲座。结束后，一位老师问他：“我家的冰箱能用语音，那它会不会一直都在偷听我说话？”

　　葛健详细地给对方分析了相关授权原理，并安慰道：“如果它时刻记录，是很容易被检测出来的。一旦出问题，企业将承担巨大损失。因此它们尽量避免此类风险，会设定专门的触发机制。”

　　这样的恐慌并非空穴来风。

　　仅在2018年就发生了多起严重的个人隐私信息泄露事件。年中，华住酒店集团有5亿条用户信息疑似遭到泄露，来自圆通和顺丰的总计十几亿条个人信息在暗网被出售。年底，约410万条旅客信息在网上被出售，随后，中国铁路总公司发布声明表示，信息泄露与中国铁路总公司12306平台无关，是用户通过第三方抢票平台订票后发生的。

　　2019年央视3·15晚会也介绍了个人隐私信息通过手机App泄露的案例。主持人现场使用一款名为“社保掌上通”的App查询个人社保信息，一旁的网络安全专家通过抓取分析数据包发现，查询时，用户的信息已被发送至一家大数据公司的服务器。

　　万千信息汇于手机

　　近年来，随着移动互联网的高歌猛进，手机已成为大众生活必需品。手机在承担越来越多生活服务功能的同时，也因汇集大量个人隐私信息如衣食住行、社交关系等，安全问题凸显。

　　根据2018年8月29日中国消费者协会发布的《App个人信息泄露情况调查报告》，目前个人信息泄露总体情况比较严重，在共计5458份有效问卷中，有此遭遇的受访者占比达85.2%。

　　报告显示，个人信息泄露的主要途径包括经营者未经本人同意收集个人信息，经营者或不法分子故意泄露、出售或者非法向他人提供个人信息，网络服务系统存有漏洞，不法分子通过木马病毒、钓鱼网站等手段盗取、骗取个人信息和经营者收集不必要的个人信息等。

　　App过度索要授权是个人信息泄露的导火索之一。

　　在接受《中国企业家》记者采访时，葛健认为，过度索要体现在App所需的功能和它所要请求的权限不匹配，比如，图片修改类软件，索要麦克风或者通讯录权限。

　　“如果新闻和购物类App在安装时索要通讯录授权，那明显是过度索要授权。”网易易盾移动安全资深工程师侯海飞对《中国企业家》记者表示。他还提到了几个生活中容易泄露个人信息的场景，比如周围朋友来拉票，但如果投票时需要填写手机号甚至身份证号，这个拉票场景的目的很可能是获取个人信息。

　　作为移动安全领域的专家，侯海飞经常给父母进行安全领域的科普。有段时间，他发现老人的手机里多了不少来源不明的App，几经询问才得知，老人参与了路边扫二维码获取优惠的活动，并点击了弹出的下载链接。

　　“要尽量避免从不正规途径，比如群组分享、扫不明来源二维码等方式下载App。”侯海飞补充道。

　　葛健曾专门做过一个小实验。

　　一天，某儿童培训机构在路边免费发放气球，葛健给孩子领了一个，并在对方的要求下，留了电话号码，“我就想看他是不是真的会给我打电话”。很快，他“如愿以偿”，几乎每周都会收到好几个推销电话。过了一段时间，这家机构终于不打了。但，另外一家培训机构开始打电话了。

　　侯海飞强调，在公共场合，连接不安全Wi-Fi也是高风险行为。“如果上网的流量被控制，你所有的访问内容都可以被获取。安全层面做得好的应用，会加密上网信息；如果没有加密，你所有的信息都是对外暴露的。”他建议家中路由器最好也设置比较复杂的密码，以防被劫持。

　　另外，用户在使用App时，不经意间同意的一些授权协议，也会导致个人信息泄露。

　　在央视3·15晚会提到的“社保掌上通”案例中，用户在查询信息时，被默认同意了一份授权协议，协议中包括“您在此充分地、有效地、不可撤销地、明示同意并授权我们使用您的社保账户密码为您提供服务”，以及“在遵循本协议的条件下，对您的信息进行采集、分析、处理和模拟您登录人行征信、学信网、社保、公积金、运营商网站等获取您的个人信息”等条款。

　　金融借贷类App由于需要用户提供更多个人信息作为征信和还款的保证，一直以来都是隐私泄露的高风险重灾区。

　　最近的一场风波来自京东金融。

　　2月16日，有微博网友上传视频称，京东金融安卓版App在后台运行时会自动获取用户使用手机时的截图并上传保存到该App相关文件中。京东金融回复称，京东金融绝不会收集未经用户授权的任何信息，更不会窃取用户信息，将邀请权威机构对京东金融App进行全面安全性检测。

　　3月8日，京东金融App在官方微博进一步予以澄清：已通过工信部下属中国信息通信研究院中国泰尔实验室安全性定向检测，未见用户非授权情况下上传图片缓存文件夹中的拍照或截屏图片，但京东金融会以此次事件为戒，建立长期的安全自律审查和外部监督机制，为用户创造更加安全、更加放心的使用环境。

　　法律仍需再完善

　　中国政法大学知识产权中心特约研究员赵占领向《中国企业家》记者表示，国家虽已高度重视，但客观而言，惩戒力度仍显不够，个人信息被非法收集和盗取的现象仍十分普遍，许多知名互联网公司也未能幸免。

　　企业加强自律、用户提高警惕，都是防止个人信息泄露的有效途径，与此同时，相关法律的完善也必不可少。

　　2019年1月1日开始实施的《电子商务法》已经强化了个人信息保护的相关规定。2019年3月4日举行的十三届全国人大二次会议新闻发布会上，大会发言人张业遂表示，全国人大常委会已将制定个人信息保护法列入本届立法规划，相关部门正在抓紧研究和起草。

　　在赵占领看来，目前中国个人信息保护在法律层面主要存在三点不足。

　　其一，个人信息的界定标准。能确认个人真实身份的信息有直接识别和间接识别两类，间接识别的定义还比较模糊，容易产生争议，比如IP地址到底算不算个人信息。

　　其二，法律对个人信息的收集使用采取三个原则，正当、合法、必要，其中必要性原则最容易产生争议，比如新闻类App到底有没有必要收集用户的地理位置。直观而言，地理位置不是使用新闻类App的必要信息，但现在流行个性化推荐，部分公司可能会以根据地理位置变化推荐不同的内容作为索要地理位置授权的理由。

　　其三，在个人信息保护方面，没有实施举证责任倒置。也就是说，当用户个人信息被泄露之后，还要自己承担举证责任，但多数情况下，用户很难取证。

　　在全球层面，个人隐私信息保护立法也已成为重要事项。

　　2018年5月25日，欧盟《通用数据保护条例》(以下简称GDPR)生效。GDPR被认为是目前数据保护的最严苛标准，全球多云数据管理解决方案领导厂商Veritas Technologies的研究显示,全球诸多企业误认为自身符合了GDPR的标准和要求。但根据调查,真正满足条例合规要求的企业只有2%。

　　GDPR虽然是欧盟的立法，但对全球化布局的科技公司均有不小的影响力。2019年年初，谷歌因为在广告个性化方面缺乏透明度和有效同意，被法国国家数据保护委员会的限制委员会依据GDPR相关规定，罚款5000万欧元。

　　专家支你一招

　　虽然泄露途径众多，几近防不胜防，但用户仍然可以在日常使用中养成一些好习惯，降低泄露风险。对此，葛健和侯海飞提供了一些简单易操作的建议。

　　区分账号体系，注册不同平台时，使用不同的邮箱和密码。用安全系数高的邮箱绑定金融类平台，切勿把金融相关平台的密码和其他平台的密码通用。

　　谨慎使用手机作为登录账号，可以注册专门的邮箱。

　　避免连接不明来源的Wi-Fi，在公共场合连接Wi-Fi时，尽量跟Wi-Fi提供方确认后再连接。

　　在相关平台填写信息时，非必须提供的信息，尽量不要填写。

　　授权信息查询类平台时，仔细阅读用户协议。

　　不要给App过多权限以及不符合需求的权限，特别是IMEI权限。

　　下载应用时，尽量从正规的应用商店下载知名厂商的应用。避免点击各类群组，或者不明来源二维码传播的下载链接。

　　此外，侯海飞还专门提醒，老年人是隐私信息泄露的重灾区，要时常跟家中老人做安全方面的科普，尽量多保持沟通。