文|新经济的沸点郭娟
央视315晚会终于在716播出了。
节目曝光了9个问题:“敌敌畏海参”“过期汉堡王”事关食品安全；“美容与教育消费”、“黑洞装饰”、“神奇汽车”等。，使“坑”中的消费者失去财产。
说到消费，买家永远是弱势群体，所以中消协会定315，央视每年的这一天都会播出重磅调查节目，警醒消费者提高维权意识，震慑无良商家。
因为长期关注科技互联网的内容，今年特别关注了节目中的“隐藏SDK”一节。
直播过程中，出现了比节目更精彩的现象，大量P2P受害者涌入观众留言区。他们的诉求基本是要求央视彻查各种网贷平台。
央视315曝光的54款问题app中，除了几款功能软件，确实有很多闻所未闻的网贷平台:国美易卡、美国分期、九秒贷、够分期、麦芽贷、栗子贷、趣花苑、我享贷、享宝、融小鱼...
SDK的“助人为乐”体现了大数据时代的“技术黑箱”现象。
“黑箱”是控制论中的一个概念，指主体在认知中对内部情况完全不知情。如果技术成为普通人的认知鸿沟，在缺乏有效监管的前提下，技术的黑箱压迫人，人却无力还手。
但是原出处，SDK本来可以好的。
一个
SDK是软件开发中常用的技术，称为软件开发工具包，即软件开发工具包。
它为软件开发中复杂或研发费用昂贵的功能制作半成品工具包。开发软件的公司只需要购买这些工具包，稍微处理一下就可以使用这个功能。
这个操作就像主妇做饭一样简单，买半成品，加热就可以端上来。
很多小规模的公司由于开发能力不足，资金不足，会购买第三方SDK工具包来完善自己的APP功能。久而久之，SDK已经成为软件开发的一部分，它的长期存在是有原因的。
目前最常用的SDK有广告推送、弹窗、地图导航、语音识别、第三方登录、第三方支付等等。
这些功能都需要读取手机用户的相应信息。按照我们的相关规定，都需要取得“用户授权”。但SDK公司如果超出约定的功能范围，随意采集，就迈出了作恶的第一步。
2015年10月，一个名为米优的第三方广告SDK被发现收集了用户的个人身份信息，包括Apple ID电子邮件地址、设备识别码和安装在手机上的应用程序列表信息。最终，256款使用大米SDK的应用被苹果应用商店下架。
有些SDK开发者为了收集用户信息或者进行非授权操作，会故意预留“后门”，这是作恶的第二条路径。
2017年8月，同样是第三方广告SDK的“欣欣”被发现内置后门，在未经用户许可的情况下收集用户隐私数据，获取用户设备中所有已安装app的列表。SDK中嵌入的500多个app总下载量超过1亿，最终全部被Google Play下架。
2
2020年央视315晚会，《隐藏的SDK》讲述了2019年11月，上海市消保委委托第三方公司对部分手机软件中的SDK插件进行专项测试。
在50多个问题app中发现的技术人员检测到，这些软件的SDK“会读取这个设备的IMEI、IMSI、运营商信息、电话号码、短信记录、通讯录、应用安装列表和传感器信息。”
他们分别用了两个企业SDK套件:一个叫上海氪信息技术有限公司，一个叫北京蔡照旺旺信息技术有限公司
这些信息在未经用户允许的情况下被悄悄收集并上传到网络。
收集的信息有多重要？以IMEI号为例，它就像手机的“指纹”，像每个人的身份证号；短信拦截中的一个危险场景是“验证码”。一旦验证码落入不法分子手中，很多账号密码就没用了。
更危险的是，当多个app同时使用一个SDK时，SDK更容易整合各个app的数据孤岛。
比如一个人的银行卡转账，支付宝支付，微信支付，手机上的电商平台购物...如果把这些信息综合起来，就能很好地反映他的收入和支出。万恶的SDK公司把这样的信息打包，卖给一些金融机构，这些信息会成为他们放贷的依据。
央视曝光的氪信成立于2015年。在可查阅的公开宣传中，这家公司以“智能风控、智能营销、智能运营”为卖点，常年服务于金融机构。
掌柜的财报进一步证明:“工商银行、建设银行、交通银行、国美E卡等传统企业都在使用或曾经使用氪的产品解决线上获客、实时授信审核、智能运营等问题。”
在曝光央视氪的问题后，国美易卡发布声明，2020年1月终止与氪的合作，氪自己回应:2019年底终止SDK业务。
但这件事不应该停留在回应“停止业务就这么简单”上，因为这些操作，氪星这几年获取的用户信息，以及以此为基础的暴利，都应该深入调查。
它利用“技术黑洞”滥用隐私，这样的事情背后有足够的动机。更何况比氪为金融机构提供的“智能风控”更是网络黑产。
在数据黑市，身份证、姓名、所在地、工资收入、消费能力等个人敏感数据。都是高价值信息。
《创业邦》的报告称，“早在2017年，中国黑色产业从业人员就已经达到百万以上，每年亏损达到千亿元规模。”
“暴利之下，黑产成为灰色地带，内部也有分工。上游是信息供给，中游负责信息加工处理，下游是应用实现。”
黑产是SDK作恶的第三条路径。它像网络爬虫一样，用技术优势杀死那些内部数据泄露者，成为黑产上游的“优质”参与者。
在信息安全领域，法律法规的监管总是滞后的，这是每个国家都存在的现象。从这个角度来说，SDK要停止作恶，也要看软件厂商的自觉。
同时，消费者的隐私防范也应引起重视:苹果App Store和Google Play对App的准入严格，大厂开发的App也应该是可信度高的软件。
