(網(wǎng)經(jīng)社訊)7月17日，工業(yè)和信息化部發(fā)文要求嚴(yán)厲查處“315晚會”曝光的信息通信領(lǐng)域違規(guī)行為。
第一，立即組織北京市、上海市通信管理局對涉事兩家SDK企業(yè)，進行核查處理；
第二，立即組織第三方檢測機構(gòu)對曝光使用上述兩家SDK的50余款A(yù)pp進行技術(shù)檢測，對存在問題的App第一時間啟動下架程序；
第三，立即啟動應(yīng)用商店聯(lián)動處置機制，責(zé)成國內(nèi)主要應(yīng)用商店，第一時間對類似問題進行“地毯式”排查，對發(fā)現(xiàn)問題一律第一時間予以下架，同時要求應(yīng)用商店及時通知App運營開發(fā)者自查自糾，及時發(fā)現(xiàn)、處理違規(guī)收集用戶個人信息的SDK。
SDK是SoftwareDevelopment Kit的縮寫，即“軟件開發(fā)工具包”。簡單來說，它是輔助開發(fā)某一類應(yīng)用軟件的相關(guān)文檔、范例和工具的集合。對App來說，可以將某項功能交給第三方來開發(fā)以縮短周期。
據(jù)移動支付網(wǎng)了解，具備強大功能的第三方SDK廣泛應(yīng)用在大量App的設(shè)計開發(fā)階段，成為整個手機軟件供應(yīng)鏈中不可或缺的一部分。
近年來，App個人信息違規(guī)采集問題頻現(xiàn)，企業(yè)往往將App個人信息安全問題聚焦在自身代碼的開發(fā)層面，很容易忽視App中集成的第三方SDK安全問題，殊不知正是這些提供便利的第三方SDK正在背后插刀。
由于同一款SDK有可能會同時存在于不同款A(yù)pp當(dāng)中，用戶一款手機有可能同時被同一款SDK通過不同App收集用戶數(shù)據(jù)。這樣第三方SDK可以獲取大批量不同App的用戶數(shù)據(jù)。
第三方SDK可以通過挖掘用戶數(shù)據(jù)形成種種工具，如通過App的安裝情況以及獲取的用戶定位，繪制出熱力圖幫助線下店鋪選址；通過設(shè)備指紋信息算法信息，幫助App進行智能獲客、智能營銷。
以上是第三方SDK將流量變現(xiàn)的主要方式，屬于比較克制的利用。有安全公司指出，部分SDK會采用Android操作系統(tǒng)的熱更新機制，在集成環(huán)節(jié)偽裝成正常SDK，逃避集成方的檢查，而在應(yīng)用發(fā)布后運行在用戶手機時，通過熱更新機制從SDK的服務(wù)端動態(tài)加載惡意代碼。
惡意SDK有可能發(fā)動惡意的攻擊行為，例如在用戶毫無察覺的情況下打開相機拍照，通過發(fā)送短信盜取雙因素認證令牌，或?qū)⒃O(shè)備變成僵尸網(wǎng)絡(luò)的一部分。
2018年4月，騰訊安全反詐騙實驗室的TRP-AI反病毒引擎捕獲到一個惡意推送信息的軟件開發(fā)工具包(SDK)——“寄生推”，它通過預(yù)留的“后門”云控開啟惡意功能，私自ROOT用戶設(shè)備并植入惡意模塊，進行惡意廣告行為和應(yīng)用推廣，以實現(xiàn)牟取灰色收益。300多款知名應(yīng)用遭遇“寄生推”的病毒感染，其中不乏用戶超過千萬的巨量級軟件，潛在影響用戶超2000萬。
根據(jù)《網(wǎng)絡(luò)安全法》第四十三條、第四十四條規(guī)定：任何個人和組織不得竊取或者以其他非法方式獲取個人信息，個人發(fā)現(xiàn)網(wǎng)絡(luò)運營者違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、使用其個人信息的，有權(quán)要求網(wǎng)絡(luò)運營者刪除其個人信息。
《網(wǎng)絡(luò)安全法》第六十九條規(guī)定，違反四十三條、第四十四條，可處以警告、沒收違法所得、處違法所得一倍以上十倍以下罰款，責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、關(guān)閉網(wǎng)站、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營業(yè)執(zhí)照等。
7月16日，“315晚會”再次曝光手機超限違規(guī)收集個人信息情況。據(jù)央視報道，上海市消費者權(quán)益保護委員會委托第三方對市場上的App進行檢測，發(fā)現(xiàn)某些第三方開發(fā)的SDK包存在違規(guī)收集用戶個人信息的情況。
上海市消費者協(xié)會權(quán)益保護委員會檢測了50多款A(yù)pp，這些App中帶有兩家公司的SDK：上海氪信信息技術(shù)有限公司、北京招彩旺旺信息技術(shù)有限公司。而50多款A(yù)pp中包含大量的金融App，如：國美易卡、美期分期、口袋錢包、九秒貸、趣花唄等等。
工信部發(fā)文之前，被“315晚會”點名的上海氪信信息技術(shù)有限公司發(fā)布聲明，稱經(jīng)過上海氪信的內(nèi)部評估，認為SDK技術(shù)有被濫用的風(fēng)險。因此，在2019年年底前，上海氪信就已完全停用SDK技術(shù)。
據(jù)移動支付網(wǎng)了解，上海氪信成立于2015年12月，是一家大數(shù)據(jù)AI平臺，已經(jīng)完成D輪融資。天眼查股東信息顯示，該公司的股東中包括了真格基金、深圳市招商局創(chuàng)新投資基金中心（有限合伙）、上?；鹕绞黄诠蓹?quán)投資合伙企業(yè)（有限合伙）等，2019年10月，浦發(fā)銀行上海信托旗下的金融科技基金亦入股上海氪信。
公開資料顯示，發(fā)展至今，上海氪信已成為工商銀行、建設(shè)銀行、交通銀行、招商銀行、浦發(fā)銀行等國內(nèi)領(lǐng)先金融機構(gòu)AI升級的重要合作伙伴。
