30款金融APP权限测试：17款索取用户隐私

发布时间：2019.12.17 作者： 罗亦丹 阅读：

近日，100款APP整改通告中多家金融机构“上榜”，让金融机构的数据安全与个人信息保护问题引起了广泛关注。

新京报记者采访金融、安全行业多位圈内人士发现，随着移动支付的发展，越来越多的金融机构将借贷、支付场景转移到了线上，在这一过程中，许多银行遭遇到了新麻烦，包括如何达到国家规定的安全标准、如何对抗浸淫互联网圈已久的黑产攻击，以及如何让APP既实现多项业务功能，还可在个人信息保护上合规。

12月10日至16日，新京报记者下载30款排名靠前的金融类APP测试发现，金融APP超范围索取权限问题仍然存在。30款APP中有17款APP索取了隐私权限，其中13款APP索取了位置权限。

“怎么判断APP的权限‘越界’，我们之前也不了解。但所有银行自成立之初，就一直有风控部门在把关风险。只不过，在从线下支付到移动端支付的发展过程中，我们遇到的风险形态已经发生了很大变化，金融机构在这方面的投入也逐年升高，内控、抵御黑产攻击、信息保护合规，很多地方需要注意。”某银行高管戴蒙（化名）告诉新京报记者。

测试30款APP：17款索取隐私权限，其中13款索取位置

金融APP近期正遭遇又一轮监管。12月初国家网络与信息安全通报中心发布通报指出，公安机关在开展APP违法违规采集个人信息集中整治中，下架整改100款违法违规APP，其中光大银行、天津银行等金融类APP上榜。

对此，一位不愿具名的接受整改APP的高管对新京报记者表示，“之前我们接到通知说我们的APP存在泄露客户隐私的问题，具体问题包括隐私协议不规范和超范围收集，但目前已经整改完了。”

12月10日至16日，新京报记者在华为应用市场随机下载了30款排名靠前的金融类APP测试发现，若按照全国信息安全标准化技术委员会2019年8月8日发布的《信息安全技术 移动互联网应用（APP）收集个人信息基本规范（草案）》规定的金融借贷类APP必要权限范围，这30款APP中有25款在首次打开时超范围申请了权限。如光大银行申请位置权限，好分期申请通讯录、位置，闪电借款申请位置，民贷天下申请录音、拍照权限等。这说明，金融APP超范围索取权限问题仍然存在。不过记者注意到，即便拒绝上述权限索取要求，这些APP仍可继续使用。

但需要注意的是，根据《信息安全技术 移动互联网应用（APP）收集个人信息基本规范（草案）》规定，金融借贷类APP为用户提供从金融机构进行个人消费贷款服务，包括授信、借款、还款与交易记录等功能（其中金融机构是指有放贷资质的银行、消费金融公司、小贷公司等在网络上提供借贷服务的机构）。金融借贷类APP的必要权限只有存储权限一个，即除了存储权限，对其他任何权限的索取都涉嫌超限索权。

新京报记者发现，许多金融类APP除了收集必要的手机存储权限外，往往还会收集设备信息权限，如360借条、度小满理财等，而这也是导致众多金融类APP涉嫌超限索权的原因。有熟悉隐私行业的专家表示，设备信息包含手机识别码，一些基本功能如认证登录等均需要手机识别码的支持，此外，该项权限在互联网广告领域也是用来追踪用户的重要标识，因此众多APP都会收集该项权限。

根据上述《规范》，相机、通讯录、位置、麦克风、短信等权限属于“隐私权限”范畴。新京报记者测试上述30款金融类APP发现，30款APP中有17款APP索取了隐私权限。其中位置权限被索取得最频繁，有13家APP均索取了位置权限。

上述金融类APP均在首页对隐私政策进行了弹窗公示，一些APP则对索取权限的理由也进行了解释。如拉卡拉在首次安装打开后便弹窗表示其有可能索取定位、相机权限。其中索取定位权限的目的是用位置信息评估业务风险，而相机则用于身份确认。而招商银行则弹窗提示开启定位权限，目的是提高查询本地城市服务、附近优惠商户的准确性。好分期申请了通讯录与位置权限，其在首页弹窗对申请权限的行为作出解释称，“允许访问通讯录可以有效提升审核效率，允许访问位置可以提升好分期商城体验”。

拉卡拉在首页弹窗解释索取权限原因。

拉卡拉索取位置信息。

对此，金融科技专栏作家、资深观察人士毕研广对新京报记者表示，金融类APP正常收集个人信息，以便于风险控制、门槛设立、投资者测评等是有必要的。比如个人办理贷款时，银行需要掌握个人基本的身份信息、财力状况等，至于读取相应通讯录信息、短信信息等则没有必要。

超限索权、黑产、“内鬼”，银行类APP成风险“重灾区”

12月16日，戴蒙对新京报记者表示，其所在的银行曾遭遇监管机构的整改通告，原因是其索取了用户的通讯录权限与位置权限。戴蒙表示，索取通讯录权限仅是为了方便用户向好友转账，而位置权限则是告知线下网店的位置。他透露，监管部门并未全面禁止不允许索取上述权限，只是一定要在隐私协议里对索取权限的原因有所体现。

还有业内人士对新京报记者表示，其实很多银行的APP是找外包团队做的，“虽然在应用市场看到APP的运营商是银行自己，但实际上做APP的另有其人。而程序员如果在做APP时‘抄了’其他APP安装包的内容，就有可能导致权限索取的部分也一起‘抄’过来了，最后导致隐私不合规。”

根据中国信息通信研究院此前发布的《2019金融行业移动APP安全观测报告》，在具有典型代表性的12款下载量过亿的金融行业APP中，多款APP存在不同程度的超范围索取用户权限的情况，在隐私政策方面也存在多种违法违规行为，给用户个人隐私信息安全带来隐患。APP用户的个人隐私信息一旦泄露，将带来严重的后果，如骚扰电话、信息诈骗、恶意推销、网络情感诈骗等，会严重损害APP用户的利益。

在不少安全专家看来，银行APP里面包含了很多重要的客户数据，而权限索取则是获取客户数据的途径之一，因此不论是出于业务考虑还是无心之失，过多收集客户数据的同时，如果银行的风控系统不到位，客户信息也很容易被黑产或“内鬼”所窃取。

新京报记者查阅黑猫投诉平台关于金融消费者的投诉情况发现，客户信息泄露成为了保险业的前三大“差评”之一，另外两个为违规销售和理赔难。

12月13日，奇安信集团副总裁梁志勇在接受新京报记者采访时表示，现在数据安全事件发生的频率越来越高，单个企业遭受的损失也越来越大。例如2017年美国的一家信用卡公司发生了1.5亿张信用卡信息泄露，给民众隐私和企业自身都带来了很大伤害。

“数据泄露的渠道包括外部黑产攻击以及内部威胁两种，其中内部威胁实际上是数据安全很重要的一个场景。例如一些机构有非常有价值的数据，内部人员一般都有合法的身份，但他们若出于利益或其他目的，就会违规地使用数据，这类事件在一些有重要数据的企业里较易发生。”梁志勇表示。

“金融机构汇聚了大量公民信息和交易数据，并且保障着社会生产秩序的有序进行。因此对于金融机构来说，首要的是保证数据不发生泄露，其次要保证金融服务的稳定性和持续性。网银、电子支付、手机银行也是普遍意义上金融机构易受到攻击的应用，主要风险包括：网络嗅探、拒绝服务、撞库等网络安全风险，数据防泄露、防篡改等数据安全风险以及内部数据窃取、恶意使用等业务风险。”12月16日，腾讯安全云鼎实验室负责人董志强对新京报记者表示。

12月11日，央行科技司司长李伟在2019年“中国金融科技全球峰会”上表示，前不久对金融类APP开展标准测评和认证后，近期注意到几部委开展的对APP风险的整治，其中银行类APP是风险重灾区，所以将加快推进有关工作，切实防范化解风险。

“随着互联网金融新的发展，风险也有了新的变化和特征。2019年的政府工作报告中，未曾提及互联网金融，却在金融领域提及23次‘风险’问题，可见，在新时期下，互联网金融的风险以及犯罪问题仍然是对互联网金融关注的重点。”中南财经政法大学法治发展与司法改革研究中心教授郭泽强表示。

监管要求下 金融机构加大移动端安全投入

“一直以来，金融行业都有自身需要面对的安全问题，如盗转、盗刷等，这些问题在移动互联时代更加明显。此外，金融行业是对安全级别要求最高的行业之一，从身份认证方式、国家密码算法使用、等级保护标准等各方面都有相应的要求。因此，近几年金融机构对业务安全的需求也逐渐增长。”12月12日，北京芯盾时代科技有限公司副总裁蔡准在接受新京报记者采访时表示。

“越来越多银行的业务从PC端转移到了移动端，尤其对中小银行来说，线下营业厅的成本相对较难负担，因此对手机端更加看重，许多业务都转移到线上来做了，在手机端购物和转账的操作也越来越多。”据蔡准介绍，芯盾时代主要的客户群就是金融机构客户，“我们300多个客户里有200多个客户是银行，还有不少是证券公司和保险公司。在移动应用的场景下，许多金融机构客户需要在手机端拥有足够安全的身份认证措施，这类认证措施在以前是U盾，但由于手机无法使用U盾，而人民银行和银监会对5万以上的转账额度又有相应的监管文件要求，因此我们就提供了能够符合监管要求的多因素认证产品，让APP的支付额度能够从几千元提高到二三十万。”

12月13日，奇安信集团副总裁梁志勇对新京报记者表示，信息化建设与合规需求是企业投入安全建设的两大原因。“现在很多企业都有做大数据、云计算的需求，而这些都附带有安全的要求。此外，国家也提出了很多需要企业达标的硬性标准。而不同行业的企业，也需要达到各自不同的垂直性很强的行业标准，银行、公安等系统都是如此。”

蔡准告诉记者，从2016年开始，银监会明确发文对普通转账要求进行短信验证，并要求对短信验证进行保护。2017年则对银行的风控系统提出了要求，这导致了2018年和2019年成为了银行风控系统建设的高峰期。与此同时，等保2.0标准也对移动终端提出了更高的要求体系。可以看到各个机构都意识到了互联网业务面临的风险，需要金融机构采用对应的防控措施。

根据央行发布的“237号文”，央行对移动金融APP安全问题进行管理规范，主要从提升安全防护、加强个人金融信息保护、提高风险监测能力、健全投诉处理机制、强化行业自律5个方面入手，并对备受关注的个人金融信息保护划定了四大红线。

多位金融行业受访者对新京报记者表示，受各类标准出台的影响，金融安全需求在近几年持续增多，金融行业不断在安全层面加大投入。

“我们在银行成立的第一天开始，科技部下面下设了一个独立的大数据中心，专职做数据的平台建设工作，数据治理的工作，目前我们行里面自己的开发人员大概200人左右，大数据开发人员占到1/3，数据对我们来说是核心资产。此外，在信息安全上的投入，相对来说我个人认为也是比较大的，尽管现在我们全行的开发人员才200人，但是专职的信息安全人员已经20人了，风险部门还有一个专职的反欺诈的团队，他们更多是做业务安全，我们科技这边更多的是做信息安全，几个不同的层次强化数据安全的保护工作。”新网银行信息科技部负责人周勇在新京报主办的“金融进化论：2019新京报金融科技论坛”上表示。

“前不久央行发文指导互联网金融协会启动了金融APP的备案管理试点工作，简单来说，就是对金融类APP开展标准测评和认证，实施动态监测，及时处置相关风险。”央行科技司司长李伟12月11日表示，加快标准供给的同时，也在积极推进标准的落地实施，把金融科技标准实施与加强金融科技创新监管相结合，通过标准、测评和认证三个环节的工作规范金融科技创新应用，提升金融科技的监管效能。

银行遭遇互联网黑产 提高风控水平成课题

蔡准告诉新京报记者，安全公司为金融机构提供安全技术支持的具体方式是集成一个SDK到银行的APP中，“我们SDK索要的权限只要银行APP本身要求开启的权限即可，没有额外要求。”

根据中国信息通信研究院发布的《2019金融行业移动APP安全观测报告》，截至2019年9月11日，该报告团队从232个安卓应用市场中收录了13.33万款金融行业APP，发现有70.22%的金融行业APP存在高危漏洞，攻击者可利用这些漏洞窃取用户数据、进行APP仿冒、植入恶意程序、攻击服务等，对APP安全具有严重威胁。其中Top3的高危漏洞均存在导致APP数据泄露的风险。

“从银联卡支付到银联手机闪付，再到银联云闪付APP以及二维码支付，随着时代的发展，目前风险也加速向线上移动端转移，向支付业务全链条全方位渗透，由单一风险向各类风险交织并存发展，金融科技与新型风险相结合，催生团伙犯罪以及黑色产业链条，增大了风控的压力。”12月14日，中国银联法律合规部总经理郑晓琴在互联网安全与刑事法制高峰论坛上称。

那么，金融机构面对的风险主要有哪些？

在腾讯安全云鼎实验室负责人董志强看来，网点时代银行业的安全防护主要体现在业务连续性安全保障，集中在基础环境安全、网络连通性安全、应用安全等领域。而从网银时代开始，防止业务攻击和数据篡改、越权等安全防护成为了安全防护重点，同时针对普通用户银行账户的犯罪越来越多，如转账类诈骗、“四件套”交易等，这都需要银行方面有更强的监管能力。

微众银行反欺诈负责人诸劼称，薅羊毛对银行和互联网黑产来说都不是新鲜事，传统银行会遭遇套积分行为，互联网黑产则会经常薅电商的优惠券。但当金融机构逐步向移动端转移的过程中，银行碰到互联网黑产，就会出现问题。“银行没有见过这么大的账号群控黑产群体，而黑产则在电商外又找到一块大蛋糕。对于银行传统的注册账户必须手机验证和领券必须提供有效身份证的监管机制，互联网黑产往往可以使用大量手机号资源，接码平台以及大量身份信息去绕过，对此银行只能采取新方式对抗。”

蔡准对新京报记者举例称，此前有一家银行上线了其提供的风控系统后，在其APP的商城里拦截到一些商户的订单。“这些商户在该银行APP里出售商品时，使用同一个设备购买自己的商品‘刷单’，以这样的方式来‘薅’银行为商户提供的交易补贴，该银行此前承受了两年的损失，采用了反欺诈系统后才发现问题。”

董志强表示，目前，随着移动网络时代开始，移动安全、云安全、数据安全成为防护重点，同时语音支付、人脸支付等方面，银行也会面临新的威胁，比如AI伪造语音、AI伪造人脸的攻击，如何对此类新型攻击做到有效防护，也是需要银行等机构进行持续性研究。

“从2015年至今，金融机构与黑产的‘战况’一直很胶着，这是因为移动互联领域涉及很多风险点，而且相关的技术一直在升级，道高一尺魔高一丈的事情一直在发生。银行除了自身的风控团队外，还需要安全技术人员的配合，未来希望有更多的法律法规出台可以保护金融机构的数据安全。”戴蒙表示。

来源：新京报