来源:苏宁金融研究院
作者:刘佩斌
如果让你每天只选择一件物品出门，你会选择什么？
相信你心里已经有答案了，那就是手机。
你的工作生活被手机填满了吗？早上起来查天气，手机APP会自动提醒注意防晒；开车经过某个城市后，手机APP立即推荐相关城市的衣食住行。作为资深手机控，我们充分享受各种app带来的便利。
另外，你的手机是否经常收到一堆优惠活动的垃圾短信；除了快递小哥给你打电话，更多的时候，对方直接报了你的名字。当你以为是老朋友或者老同事的时候，发现对方让你带孩子来参加课程体验，或者某个房子有优惠。你讨厌泄露个人隐私吗？
为了越来越了解自己的手机，你了解吗？
本文从恶意应用如何窃取你的隐私开始，教你如何防范。
隐私泄露屡禁不止，精准诈骗频发。
2020年5月15日，工信部发布APP侵害用户权益通报。根据《网络安全法》、《电信条例》、《电信和互联网用户个人信息保护条例》等法律法规，工信部近日组织第三方检测机构对手机应用软件进行检查，督促发现问题的企业进行整改。
有哪些app？涉及哪些违法行为？
报告显示，当当、店长直聘、e代驾、街等16款app赫然在列。这些app都涉及到私自收集个人信息的问题，还包括与第三方私自分享个人信息、超范围收集个人信息、不给予使用权限、强制用户使用定向推送、要求权限过大、账号注销困难等七大类问题。
工信部要求，存在问题的APP要在5月25日前整改落实。逾期未整改的，工业和信息化部将依法依规组织开展相关处置工作。
2018年8月，中消协发布《APP个人信息泄露调查报告》称，APP已成为个人信息泄露的重灾区，遇到过个人信息泄露的占85.2%，没有遇到过的占14.8%。
消费者个人信息泄露时，约86.5%的受访者受到过推销电话或短信的骚扰，约75.0%的受访者收到过诈骗电话，约63.4%的受访者收到过垃圾邮件，排名前三。
调查结果还显示，如果手机APP导致个人信息泄露，最担心的问题是用于从事诈骗盗窃活动，占比70.5%；其次，其中约52.4%是出售或交换给第三方。约37.7%被推销广告骚扰；美誉度6.6%左右。
值得注意的是，最终，约三分之一的受访者选择了“自认倒霉”。一方面可能是基于他们无法应对，另一方面可能是他们应对无效后的接受状态。
骗子在获得用户信息后，最担心的就是个人的“量身定制”精准诈骗。这种诈骗很难被当事人识破，因为骗子往往能准确说出当事人的一些比较私密的信息，足以“以假乱真”，让用户放松警惕。
2019年9月20日，黑龙江双鸭山一位刘女士向警方报警称，自己前几天在某第三方平台购买了一张飞机票。就在飞机起飞的前一天，她突然收到一条短信，说她的行程取消了。她打电话要求退款，结果被骗了15000元。
隐私泄露的原因多种多样，很难识别完整的套路。
用户隐私泄露的原因是多方面的。本节主要从黑灰产者、APP开发者、APP本身、用户本身四个方面进行分析。
1.黑灰工通过反编译系统，攻击篡改，植入后门，窃取数据。
2013年10月，国内安全漏洞监测平台“乌云网”披露，自称国内最大酒店数字客房服务商的浙江某公司，因为安全漏洞，在网上泄露了与其有合作关系的大量酒店的开房记录。
几天后，网上出现了一个名为“2000w开房数据”的文件，里面有2000万条关于酒店房间的个人信息，容量为1.7G在开房数据中，开房时间为2010年下半年至2013年上半年，包括姓名、性别、国籍、民族、身份证号、生日、地址、邮编、手机、固话、传真、邮箱、公司、住宿时间14个字段。
黑客利用平台漏洞收集网站和APP应用泄露的个人信息，然后尝试登录其他网站系统“撞库”，不断非法获取用户信息。通过手机号、身份证号不断链接、清洗用户的碎片信息，然后将信息“打包”卖给不法分子牟利。
目前“人肉搜索”已经成为一个灰色生意，价格从几百元到几千元不等，而这些信息都来自黑灰们用来存储个人信息的“社工银行”。
需要指出的是，社工库及“人肉搜索”行为严重违反了网络安全法等相关法律、行政法规关于个人信息保护的规定。
2.APP开发者技术实力参差不齐，数据管理不善容易导致数据泄露。
一般中小公司的APP开发者技术能力较弱，在数据安全方面缺乏技术实力，数据保护意识较弱。这给了黑客可乘之机。
以金融行业app为例。这些“钱”相关的app安全几何？2019年9月11日，中国信通院报告团队从232个安卓应用市场收集了133327款金融行业app。经过测试发现，共有20.48%的金融行业app嵌入第三方SDK，嵌入SDK总数高达104005个。在嵌入SDK的金融行业app中，有45%的app嵌入了5个及以上的SDK。然而，第三方SDK存在一些安全风险，如隐藏的用户信息收集和自身的安全漏洞容易被不法分子利用。
然而，这些app中只有17.08%得到了安全保护，超过80%的金融行业app在没有任何安全加固的情况下，在应用市场“裸奔”。如果不加固用Java语言编写的Android应用，其打包的APK文件很容易被反编译工具逆向分析，从而暴露风险。
3.APP本身过度要求手机的权限，带来了隐私泄露的风险。
对于APP来说，接入手机一部分是因为功能需求；另一方面也是为了尽可能多的收集用户数据，详细了解更多的用户特征，然后有针对性的进行推广，提升用户体验。
APP最热衷于收集用户位置和通讯录的信息。《APP个人信息泄露调查报告》显示，位置信息读取权和联系人访问权是安装和使用手机APP时最常遇到的情况，分别占86.8%和62.3%。要求受访者阅读通话记录、阅读短信记录、打开摄像头、记录麦克风的比例相对较高。
APP安装时有服务协议和隐私政策，长达几页甚至十几页，文字密集。有些软件未经授权不能使用，大部分用户也没兴趣看，选择默认直接同意。一些看似“正规”的app，却在条款中布下陷阱，装扮成“合法”，以“我已阅读并同意履行”为由，收集用户个人信息。当发现你在维权时，你用“条款里已经写明了要求，用户也同意了”的理由为自己开脱。
4.用户自身缺乏安全意识，经不起诱惑很容易泄露隐私。
互联网时代，大量用户不知道如何正确管理自己的账号密码，普遍缺乏安全意识，容易被钓鱼软件毒害或欺骗。
大量高仿低质app充斥市场。以IOS APPstore中搜索“查社保”为例。几十个类似的app出来，普通用户很难分辨哪个app是官方出品。排名靠前的应用可能是靠刷评论和下载冲上去的。在用户注册期间，他们的数据会被这些应用程序保留。2019年315，“社保口袋通”因过度收集用户信息和数据被点名。用户填写各种信息注册这个APP后，这个APP会通过隐藏的用户条款窃取用户的社保信息。现在这个APP已经全网下架了。
还有一些app通过优惠短信链接、扫码优惠等诱人信息吸引用户直接下载app。这时候用户要擦亮眼睛，不要为了方便或者仅仅是评价等去寻找。，并且不要在不知道APP来源的情况下下载输入个人信息。在使用APP的一些功能提示需要阅读通讯录时，一定要仔细考虑这个要求是否合理，增加自己的辨别能力和隐私保护意识。
热衷于个人隐私，商业利益是诱因。
商业的本质是逐利的，正确合理的使用数据无可厚非。正如CEO李彦宏所说，中国人在大多数情况下愿意用隐私换取便利，但用户仍然不希望自己的个人数据被过度查看，如聊天记录和通话记录。
抛开“出售、交换个人信息”“欺骗、窃取”等违法行为，个人信息是如何被用于广告宣传的？让你看懂广告。本节为你简单介绍一下套路。
首先，当我们注册使用购物或社交app时，你的姓名、手机号码、性别和地址都会被记录下来。
其次，当你使用APP时，你的浏览时间、地理位置、浏览路径、消费记录等数以千计的行为数据都会被保存下来。
接下来，系统建立模型，从这些基础数据和行为数据中建立标签，试图从无数标签中建立你的用户画像。
比如你看到一个电视产品的介绍，系统会计算出你对电视的欲望。通过简单的标签加权算法:
购买欲望权重=行为权重×停留时长×衰减因子
当你评论、点赞、转发、收藏“电视”产品时，你的行为权重就会增加。停留时间是额外奖励。如果你花很长时间浏览“电视”，说明你对它感兴趣。短暂的停留并不能代表你的长期兴趣，单次浏览行为的权重会随着时间的推移而降低。
最后，系统根据这些标签，通过你的浏览行为向你推荐产品；也可以推荐和你相似的其他用户的浏览记录和购买的商品。
在互联网早期，《纽约客》曾有一句世界闻名的俚语:“在互联网上，没有人知道你是一条狗。”现在，狗比你更了解你自己。
防止隐私泄露，增强个人安全意识。
网络时代如何保护我们的个人隐私？需要app开发者、应用分发市场和APP用户的共同努力。
1.APP开发者尽到责任，从源头保护个人隐私。
一个APP上线，要经过设计、开发、上线环节。APP开发者应自觉遵守相关法律，如《APP非法收集和使用个人信息的认定办法》；遵循个人资料收集的基本原则，包括目的明确、至少足够、公开通知、个人同意等。建立所谓的信息泄露“问责制”，让大家更加关注数据问题的解决。
2.应用分发平台完善审核机制，帮助用户守住“最后一道门”
国内有200多家应用商店，大部分都推出了一定的措施来保证用户的安全体验。严格把关，提升用户体验尤为重要。部分应用分发平台采用了恶意行为检测、隐私泄露检测、安全漏洞扫描、人工实名复检的四重检测体系，并采取了多种安全审核措施，确保上架应用的安全合规。
3.APP用户要加强信息安全保护意识，防止非法应用“有机可乘”
APP用户可以通过以下四种方式加强个人信息安全保护:
对APP进行分级管理，设置不同的账号密码。对于涉及资金的app和一般的app，设置两个不同的账号和密码可以防止连环盗号。
不要随意登录免费WiFi，随意刷二维码。下载APP时，最好从官网或通过有资质的第三方应用市场下载，并适当检查发布者的资质。山寨APP，或者存在窃取个人信息、恶意扣费等问题的APP，要提前了解甄别，防止落入山寨陷阱。
关闭APP的敏感权限。检查请求的权限，尽量关闭读取通讯录、短信通话记录等敏感权限。
对于苹果手机，点击设置-隐私，查看哪些程序还在使用你的“定位服务”、“通讯录”等服务。关闭设置-通用-后台应用刷新功能，部分app通过后台应用刷新功能收集用户信息。
对于安卓手机，一定要注意开启USB调试模式，因为一旦开启USB调试模式，PC软件可以快速root手机。一旦拥有root权限，手机的锁屏密码、绑定账号等信息很容易被其他软件随意调用，其安全风险不言而喻。
不要随意填写个人信息，更不要主动透露。平时收快递，用X先生/女士，优先选择小区内的自提柜台，不对应具体门牌号；使用隐私小号进行联系等。
“出来混，迟早要还的”。个人信息保护成为两会的热门话题。5月25日，全国人大常委会工作报告在下一步主要工作安排中指出，将制定个人信息保护法和数据安全法。央行将打击无证经营，获取个人隐私数据。
非法收集和野蛮使用个人隐私数据的时代将会结束。
