查天氣、找美食、玩游戲、買電影票、網(wǎng)上購物……安裝APP(應用程序)，手機變成“百事通”。不過，享受便利的同時，你可能把位置信息、通訊錄名單、朋友圈、上網(wǎng)記錄全都暴露在外。你的手機其實一直在“裸奔”。
智能手機越來越“聰明”，也越來越不安全。在今年全國兩會上，多名互聯(lián)網(wǎng)領域的代表委員均提出，智能手機比電腦泄密更嚴重。昨晚，央視“3·15”晚會曝光了多款APP調(diào)取用戶隱私信息的案例，垃圾短信泛濫、惡意插件扣除話費等問題頻頻發(fā)生。
“越軌”行為
抓取用戶個人數(shù)據(jù)
“手機下載了幾款軟件之后，狀態(tài)欄頻繁彈出廣告窗口，不斷收到垃圾短信。按'清除’沒用，必須要點擊'觀看’?！崩钕壬鹨恍遁d手機軟件，最后發(fā)現(xiàn)是一款名為《爆破小鳥》的APP作怪，卸載后就清靜了。
在智能手機和移動互聯(lián)網(wǎng)普及的今天，當你安裝熱門應用軟件時，是否會留意安裝前的授權確認？比如，這款《爆破小鳥》除了要求知曉你的位置信息外，還會提出“讀取/刪除SD卡”“讀取通訊錄”等要求，如果不同意，則無法繼續(xù)安裝。于是，很多消費者點擊“確認”，APP迅速安裝成功，同時也為手機小偷隔空竊取你的隱私打開了方便之門。
為什么授權會泄露隱私？復旦大學計算機系統(tǒng)與安全專家楊珉介紹，智能手機采用基于權限的安全管理機制。例如安卓系統(tǒng)采用約130個權限管控系統(tǒng)資源，其中就有打開手機麥克風或攝像頭、收集短消息、郵件、賬號、通訊錄、通話記錄及位置等信息。有些軟件開發(fā)者，申請權限超出正常需要，多數(shù)普通用戶并不會留意，結果拇指一動，“家門”洞開。楊珉舉例，不少手機輸入法為增強用戶體驗，可能會申請讀取通訊錄和自動聯(lián)網(wǎng)的權限，前者方便輸入名字，后者可建立在線個人詞庫?？梢坏﹥晒δ墀B加并被不懷好意者利用，千萬用戶的通訊錄便唾手可得。
DCCI互聯(lián)網(wǎng)數(shù)據(jù)中心最近針對中國各類安卓市場下載量前1400位的APP所進行的安全測評顯示：66.9%的智能手機移動應用在抓取用戶隱私數(shù)據(jù)，而其中高達34.5%的移動應用有“隱私越軌”行為。通話記錄、短信記錄、通訊錄是用戶隱私信息泄露的三個高危地帶。
消耗資費
扣錢不和你商量
“太坑人了！在手機上裝了一款'植物大戰(zhàn)僵尸’的游戲，玩的時候沒注意，結果今天上網(wǎng)查話費才知道，這幾天被多扣了180元短信費。”網(wǎng)友“悠悠金光”抱怨說，自從手機安裝了這款游戲后，在毫無察覺的情況下屢次被扣費，經(jīng)過查詢才發(fā)現(xiàn)，是游戲軟件“熱情”地幫機主訂制了多條增值業(yè)務短信。
網(wǎng)友“牛牛過河”發(fā)帖傾訴：手機一天沒響，結果一撥號，居然欠費停機了，平時每月話費最多50元，這才月初為何就欠費了？原因是他下載了一款名為“超級酒?！钡拿赓MAPP，被植入了多款廣告插件，內(nèi)置廣告通過聯(lián)網(wǎng)下載和刷新，悶聲不響“吃流量”。這條信息跟帖眾多，不少網(wǎng)友都紛紛吐槽：“什么都沒干，流量就沒了”。
這些用戶遭遇的，正是智能手機面臨的第二大安全問題———消耗資費，包括流量和話費。
“許多用戶下載的熱門應用軟件，其實已經(jīng)被動過手腳了，軟件里被重新打包了一些惡意代碼?！睏铉敕治龅?，這種代碼可以讓手機在用戶未授權的情況下，通過發(fā)短信或者鏈接指定的扣費網(wǎng)站，為機主訂購不同類型的手機業(yè)務。它最厲害的地方在于，可以屏蔽扣費業(yè)務反饋給用戶的確認扣費短信。
“詢問是否訂購業(yè)務、服務器反饋、最終確認扣費，手機短信正?？圪M的3個步驟，消費者一個也收不到，遭受了經(jīng)濟損失，卻還完全蒙在鼓里?！睏铉胝f。
商業(yè)利益鏈
環(huán)環(huán)相扣瓜分利潤
網(wǎng)上應用商城中，大量軟件靠個人上傳，門檻較低，商城自身檢測水平、核查機制良莠不齊，為不法分子提供了可乘之機。楊珉認為，移動廣告商、惡意扣費、移動網(wǎng)銀支付、用戶信息交易等均是商業(yè)利益鏈上的環(huán)節(jié)。
廣告商和廣告平臺私自收集個人信息，已是業(yè)內(nèi)默認規(guī)則。信息處理方式通常有兩種。一是賣給短信群發(fā)平臺等渠道，立即套現(xiàn)；如果不急著套現(xiàn)，廣告商和平臺可以對這些信息做數(shù)據(jù)分析和短信推送，通過短信渠道向用戶發(fā)送廣告信息，反復騷擾，實現(xiàn)精確廣告投放?！案膳轮幵谟?，通過獲得用戶的隱私信息，便可掌握其所在方位、社會關系網(wǎng)絡、單位組織構成等，甚至能侵入并遠程控制用戶的智能手機等移動設備，實施竊聽、跟蹤與監(jiān)視。脅迫或欺詐、發(fā)送垃圾廣告、套取專業(yè)領域機密等違法犯罪行為都成為可能。”楊珉說。
不過，與暗扣費APP制作方相比，廣告手段只能算小巫見大巫。業(yè)內(nèi)人士透露，有些公司會盜版和仿冒下載量較高的游戲和應用，比如在《捕魚達人》等游戲中內(nèi)置扣費插件，二次打包后，以漢化版、破解版等名義推向第三方市場(應用商城)。用戶下載后，插件就會暗中扣費。這些公司再和APP開發(fā)者甚至第三方市場合作，瓜分利潤。
“廣告利潤較低，但加入'暗扣代碼’做APP，最快一周就能回本，月收入輕松過萬?！睒I(yè)內(nèi)人士透露，做暗扣業(yè)務一本萬利，而且內(nèi)置扣費插件還可用更改簽名等方式，繞開手機安全軟件的查殺。
安全大門
僅靠自律很難防守
記者調(diào)查發(fā)現(xiàn)，目前市面上已經(jīng)推出多款安全軟件，比如“安全管家”“手機衛(wèi)士”等，具備了相應的權限管理功能，用戶可以通過這些軟件，有針對性地關閉APP的部分權限，而且部分系統(tǒng)還能做到按實際需要有選擇地授權。
但是，在楊珉看來，這種方式治標不治本。“用安全軟件就必須'r00t’你的手機，也就是完全開放系統(tǒng)權限，這意味著你把手機的最高權限交給了這些安全軟件，相當于把家里的鑰匙交給了保安，安全與否完全依賴于保安是否自律?！睏铉胪嘎?，其實有不少安全軟件本身就在竊取用戶隱私。他還介紹，有些智能手機出廠時，系統(tǒng)就自帶不少軟件，其中很有可能內(nèi)藏“小偷”。
“守住手機安全大門，不能僅靠安全軟件、APP開發(fā)者、手機生產(chǎn)商自律，應有相應的監(jiān)管機制?！睏铉胝J為，一要有標準，移動終端隱私數(shù)據(jù)分級、應用程序收集和使用隱私數(shù)據(jù)應有標準；二要有相應的技術檢測手段，智能手機應用程序發(fā)布、審核等方面應有國家安全技術標準和測評機制，三要有追懲機制，制定相應的法律法規(guī)與管理辦法，明確告知開發(fā)者和運營商，能做什么和不能做什么，比如要求應用程序顯示聲明對用戶隱私數(shù)據(jù)的收集行為，并要求收集者承擔對這些數(shù)據(jù)的保護和不擴散的責任。
記者了解到，工信部正在建立評估體系，對智能手機應用程序、內(nèi)置軟件進行評估和抽查，將第三方平臺納入管理，逐步完善備案、審核、監(jiān)督、抽查等管理環(huán)節(jié)，督促服務提供商和內(nèi)容提供商加大自我清查，整治惡意APP暗扣費等現(xiàn)象。
安卓智能手機的某些應用程式每三分鐘追蹤一次人們的動態(tài)。
根據(jù)美國一項研究發(fā)現(xiàn)手機設備的應用程序每兩周平均可以收集6200次GPS坐標。這項研究還顯示，大多數(shù)智能手機用戶不知道自己處于被密切跟蹤的狀態(tài)，對許多結果都感到驚訝。
根據(jù)伊麗莎白·德沃斯金在《華爾街日報》的一份報告，卡內(nèi)基梅隆大學的科學家們調(diào)查了23名安裝4.3版本的安卓用戶，讓他們登錄了應用程序請求。
即使應用程序已有了位置服務，但還要收集更多的數(shù)據(jù)。
例如，Groupon這個應用程序要求參與者在兩周內(nèi)收集1062次坐標。
同時，天氣頻道的應用要求設備平均定位2000次位置，每10分鐘定位一次位置。
不過，這項研究的主要焦點是用戶共享數(shù)據(jù)的次數(shù)。
他們每天都收到定位的消息次數(shù)或'隱私推送’信息，如位置信息、聯(lián)系人列表、電話通話記錄。
一些推送信息令人擔心，一個明顯的例子：'14天的時間里，F(xiàn)acebook，Groupon，GO Launcher EX和其他七個應用，已分享了5398次你的位置?！?/span>
4182次——你是在和我開玩笑嗎？一位參與者問。感覺就像我自己的電話被跟蹤了一樣，這也太可怕了。
另外一個人也說，這個數(shù)字太高了。
356次的次數(shù)太多了真沒想到。
計算機科學學院軟件研究所諾曼·薩德哈教授說，絕大多數(shù)人都對此渾然不知。
其實大多數(shù)智能手機用戶對應用程序的這個行為都無法獲得數(shù)據(jù)信息。但有了這個研究結論，大家可以迅速改變手機的隱私設置。
該研究使用安卓4.3版本安裝了AppOps。
在第一個星期的研究中，收集了23個人的應用行為數(shù)據(jù)，他們使用自己的安卓手機安裝了這款軟件。
在第二周，他們進入到AppOps這款軟件應用中，在第三周和最后階段他們每天收到應用程序訪問隱私推送敏感信息的詳細頻率。
研究人員發(fā)現(xiàn)應用權限對管理者們有幫助作用。
當參與者進入到AppOps應用程序中，有51次權限，被76個應用程序限制了272次。只有一個參與者未審核權限。
但是參與者一旦在頭幾天設置按照自己的偏好們就停止改變設置。
他們開始收到推送的隱私信息，不過，他們再恢復隱私設置，很多隱私信息還能受限制。在八天的時間，用戶審核權限69次，其他47個應用阻止了122次權限。
'有應用程序權限管理總比沒有的好，但權限本身也并不絕對安全，’薩德哈說。
'用戶推送隱私的事實表明，他們真正關心的是隱私，只是不知道收集了多少信息。’安卓后期的版本中斷了AppOps軟件的安裝。
盡管iPhones有一個隱私管理器，但它不告訴用戶信息頻率或用途
