央视315：贷款APP窃取用户隐私 P2P受害者评论区刷屏

2020-07-17 13:06:59 金融虎

7月17日晚间，因疫情而延期的央视“315晚会”播出。晚会提到，2019年11月，上海市消费者权益保护委员会委托第三方公司对一些手机软件中的SDK插件进行了专门的测试，却发现一些SDK暗藏玄机。调查发现，某些SDK插件存在未经用户许可，窃取用户手机中短信、通讯录等个人隐私信息，尤其是短信内容会被全部传走。这些内嵌SDK插件的应用包括了国美易卡等50余款手机APP。金融虎注意到，涉金融现金贷类APP成为重灾区，数量占比过半。此外，诸多P2P受害者在央视频315晚会直播评论区的刷屏也格外醒目。

曝光50多款应用软件贷款类APP占比过半

依据《信息安全技术移动互联网应用（App）收集个人信息基本规范》《App违法违规收集使用个人信息行为认定方法》等相关规定，技术人员检测了50多款手机软件，这些软件中分别含有上海氪信信息技术有限公司和北京招彩旺旺信息技术有限公司两家公司的SDK插件，这两个插件，都存在在用户不知情的情况下，偷偷窃取用户隐私的嫌疑。

据金融虎统计，50多款应用软件中涉金融类APP包括国美易卡、麦芽贷、91、极速购、爱转转、美期分期、九秒贷、现金转转、够范分期、我享借、乐享宝、趣花呗、取点花、信用金库、秒贷钱包、捷云速贷、紫金普惠、口袋钱包、小猪花、有钱用、来闪贷、你的一万元、我闪花、青木易贷、莫愁花、小蟹钱、贷钱吧、千禧一贷等。央视提示，你的短信可被全部传走，包括网络交易验证码，这些APP应赶紧卸载。

天眼查数据显示，上海氪信信息技术有限公司成立于2015年12月，公司经营范围包括信息科技领域内的技术开发、技术转让、技术咨询、技术服务；计算机系统集成；计算机软硬件及辅助设备的开发与销售等。该公司有包括氪信机器学习模型性能监控工具软件36条软件著作权。股东信息显示，该公司的股东中包括了真格基金、深圳市招商局创新投资基金中心（有限合伙）、上海火山石一期股权投资合伙企业（有限合伙）等。

北京招彩旺旺信息技术有限公司成立于2016年3月，经营范围包括技术开发、技术推广、技术转让、技术咨询、技术服务等。另外，北京招彩旺旺信息技术有限公司有包括疫评测app在内的7条软件著作权。股东信息显示，该公司第一大股东为施侃，持股比例60.27%；第二大股东为冯天放，持股比例12.41%。股东中还有宁波梅山保税港区晟能投资管理合伙企业（持股11.19%）等。

检测人员表示，该插件会读取这部设备的IMEI、IMSI、运营商信息、电话号码、短信记录、通讯录、应用安装列表和传感器信息。而这些APP里的SDK来读取用户的隐私信息只是第一步，读取完成后，还会悄悄地将数据传送到指定的服务器存储起来。北京招彩旺旺信息技术有限公司的SDK，甚至涉嫌通过菜谱、家长帮、动态壁纸等多款软件，窃取用户更加隐私的信息。

检测人员还指出，会未经用户同意，收集用户的联系人、短信、位置、设备信息等等。尤其短信，短信内容被全部传走，这个是很严重的。手机中存在真实的短信记录，它的下行号码、短信内容，都可以很清晰地看到。一旦用户有网络交易的验证码被获取，极有可能造成严重的经济损失。

“您好我是陈思”“验证码为903474，请勿告知他人”等等，用户如此重要而私密的信息就这样被传送到第三方服务器，检测人员介绍，因为SDK能够收集用户的短信，以及应用安装信息，一旦用户有网络交易的验证码被获取，极有可能造成严重的经济损失。此外，虽然SDK只是一个看似普通的插件，但是因为它对所有的手机App具有通用性，很多手机软件可能都嵌入了同一个SDK，因此一旦某个SDK窃取用户个人隐私，将会涉及众多手机软件。

此外，工作人员还发现一些知名手机APP也有收集用户隐私的现象，涉及酷音铃声、手机铃声、铃声大全等多款软件。

在遭到曝光后，国美易卡昨晚在官方微博发布针对315晚会相关报道的说明称，针对报道的关于国美易卡等手机应用软件SDK插件问题，国美易卡高度重视，第一时间已成立特别工作小组，对此事已经展开迅速排查，报道中提到的“氪信SDK插件”，已于2020年1月14日从国美易卡APP下线。目前已经全面停止与氪信一切合作。

美容院向学生推荐网贷业务

315晚会还曝光了“美容院诱导顾客办卡，向学生推荐网贷业务”一事。美容院会向免费体验美容的学生推荐网贷业务等引导学生消费。还会在消费合同上注明产品不退不回。被曝光的美容院包括：可颜丽尔、丽丝兰雅、润诚诗美、可诺丹婷等。