“沒有人知道，此刻我有多害怕第二天的到來……”

　　2月20日凌晨一點多，小媛在微博寫下了這樣一段話。天亮后，等待她的將是一場由網(wǎng)貸平臺發(fā)起的“狂風驟雨”。

　　果然，8點53分，一個被多人標記為“騷擾電話”的號碼打進來催債；9點31分，另一個顯示是老家江西贛州的座機號也來問候；9點54分后，小媛的手機開始響個不停，威脅、謾罵、詆毀接踵而來。

　　更讓小媛焦慮的是，這樣的手機轟炸不止是針對她本人，她通訊錄里的親友也陸續(xù)收到了催債電話與短信，她覺得自己在他人眼中的形象已經(jīng)破產(chǎn)，尊嚴全無。

　　其實，從小媛下載網(wǎng)貸App，并允許它讀取自己的通訊錄開始，這樣的結局似乎就已經(jīng)注定。只是在使用包括網(wǎng)貸在內(nèi)的App前，人們鮮少考慮交出這項手機權限可能帶來的影響，等到催收的騷擾范圍擴展到整個通訊錄，波及到無辜的第三方，才追悔莫及。

　　借貸類App在獲取權限后會做什么是顯而易見的，對通訊錄內(nèi)家人朋友進行轟炸型的催債能夠切實地感知到。除了這些，我們授權出去的權限還會被App怎么用？那些非借貸類的App又會怎么處理我們的個人信息？

　　近日，南都記者嘗試使用技術實測了143款App，嘗試研究在我們把收集權限交給App之后，會發(fā)生什么？結果我們在App行為測試的結果中明文看到了App調(diào)取了用戶的短信內(nèi)容并上送；此外，還有App向多個第三方服務器發(fā)送用戶信息，可謂觸目驚心。

　　逾期通訊錄被爆，名譽毀于一旦

　　27歲的小媛從未想過生活會這樣失控。回想最初，債務從一兩萬元滾到近三十萬元，只是短短28天。

　　三年前，她和丈夫離婚，帶著9個月大的女兒回到娘家。孩子一天天長大，生活的細碎開銷讓這個每月工資僅有3600元的單親媽媽不堪負重。

　　最難的時候，小媛想到了信用卡，卻擔心入不敷出影響個人征信記錄。于是，她用了一種最笨的方法，通過借網(wǎng)貸來償還信用卡債。二十多天里，她下了90多個借貸App，一些錢是到手了，可是網(wǎng)貸的口子一旦打開，隨即而來的是意想不到的“無底洞”。

　　“網(wǎng)貸借款基本以7天為周期，借款金額4250元，實際到賬只有2921元。”小媛告訴南都記者，還款期一到，當天催收電話就來了。隨后開始爆通訊錄，家人朋友相繼接到電話威脅恐嚇，這意味逾期者通訊錄里的所有人，包括家人朋友甚至是并不熟悉的聯(lián)系人都可能成為被催收的對象。

　　打爆小媛手機的催收電話。受訪者供圖。

　　更讓她感到驚恐的是，一些帶有侮辱性的短信和不雅P圖也被群發(fā)到各處。當個人通訊等隱私信息曝光在網(wǎng)貸平臺和催收公司面前，小媛此刻不如意的生活人盡皆知，名譽毀于一旦，隱私和尊嚴更是無從談起。

　　催收者發(fā)送的侮辱短信。受訪者供圖。

　　和小媛一樣，最近三個月，來自河北石家莊的王先生也正在經(jīng)歷這樣的生活。蘋果手機里安裝的250個借貸App時刻提醒他，身上背負的55萬元欠款。最多的時候，他一天接到了400個催收電話。

　　每個深陷網(wǎng)貸泥潭者的故事背后，大抵都有相似的遭遇：以貸養(yǎng)貸，讓人喘不過氣的2000%年利率。一旦逾期被爆通訊錄，頻繁遭到催收騷擾，日子不得安寧但卻無計可施。

　　權限授權頁面“一閃而過”

　　聚投訴平臺發(fā)布的一份年度報告顯示，2018年，在聚投訴平臺上的第一大被投訴行業(yè)是互聯(lián)網(wǎng)消費金融，有效投訴量共計20.9萬件，占投訴總量的66.4%。消費者投訴的兩大突出問題，仍然是惡性催收與利率超標。

　　那么，依托爆通訊錄，曝光借款者個人隱私的催收怪圈是如何形成的呢？其實，早在下載現(xiàn)金貸App點擊同意授權“讀取通訊錄權限”、“同意交出通話記錄”開始，小媛、王先生及通訊錄里所有人的信息已成透明。而這樣的同意授權，往往始于借款人的無意識與疏忽。

　　“當打開App時，一個允許讀取聯(lián)系人，允許讀取定位等信息的頁面一閃而過，隨后才進入貸款申請環(huán)節(jié)。”小媛說。

　　王先生使用過的250個網(wǎng)貸App中，有些并非從應用商店下載來的，而是通過掃描指定的二維碼，繞過蘋果手機的App審核機制安裝到他手機上的。在掃碼下載借貸App后，用戶需在手機里選擇“可信任”設置才能打開。

　　他告訴南都記者，進入借貸App之后，還需經(jīng)過信用評估才能結款。信用評估即填寫自己的個人信息，大都包括個人信息如姓名、身份證、學歷、婚姻狀況、緊急聯(lián)系人、手機運營商網(wǎng)上營業(yè)廳的賬號信息、銀行卡、芝麻分授權等。

　　數(shù)據(jù)一旦交出，意味著王先生的個人隱私盡被網(wǎng)貸平臺掌握，而且有可能分享給催債公司或是其它第三方。

　　一攬子協(xié)議，App過度收集信息嚴重

　　需要關注的是，即便用戶足夠重視信息安全，或許也難逃App收集個人信息的套路。

　　近日，南都個人信息保護研究中心實測143個App ，從有無隱私政策、內(nèi)文是否存在霸王條款、收集個人信息前是否公示收集使用規(guī)則、有無強制同意非必要權限、收集個人敏感信息時是否再次獲取明示同意、有無注銷功能等方面，實際考察App獲取個人信息的情況。

　　測評發(fā)現(xiàn)，App使用“一攬子協(xié)議”的方式過度收集個人信息的現(xiàn)象仍然普遍存在。

　　一款名為“貝殼錢包”的App在用戶協(xié)議中提及，“您授權貝殼錢包在業(yè)務運營中獲悉您的手機通話詳單、手機服務密碼、第三方網(wǎng)絡平臺的賬戶和密碼信息。”也就是說，用戶同意這份個人信息收集的協(xié)議后，即代表允許平臺獲取你的通話記錄，你常用聯(lián)系人，通話時長等信息可能都被知曉。

　　貝殼錢包服務協(xié)議。

　　另一款名為“盈盈有錢”的借貸App在《隱私權保護聲明》中提到, 會收集來自第三方的信息，其中包括認證芝麻分和運營商。上述聲明提及，“一旦開始使用該 APP 的服務并提交本隱私保護聲明所示信息材料，我們即有權根據(jù)您提供的運營商信息，獲取您最近6個月的信息記錄，包括但不限于通話、短信、流量記錄、運營商報告等。

　　盈盈有錢隱私權保護聲明。

　　單從隱私政策或用戶協(xié)議看，這些App需要獲取的用戶信息范圍廣泛，但與哪些核心功能相關，適用于何種場景，并未作過多說明，更有App甚至要求用戶確認位置信息并非個人隱私。

　　一個名為“在外”的旅游交通類App在明確條款中寫道：“用戶確認其地理位置信息為非個人隱私信息，用戶成功注冊"在外"賬號視為確認授權公司提取、公開及適用地理位置信息。”

　　在外用戶協(xié)議。

　　而根據(jù)兩高發(fā)布的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，行蹤軌跡信息、通訊內(nèi)容、征信信息、財產(chǎn)信息均屬于個人敏感信息，非法獲取、出售或者提供50條以上即算“情節(jié)嚴重”。

　　不給說“不”的權利，App強制索權遭詬病

　　在測評中，南都記者還發(fā)現(xiàn)，部分移動金融App通過捆綁甚至強制獲取的方式，要求用戶一次性同意多項敏感權限。

　　以“融360”和“錢站”為例，當使用華為手機（安卓版本8.0）在華為應用商店下載安裝這兩款App時，頁面彈窗需要獲取用戶的以下權限：存儲、電話、位置信息、相機、麥克風、通訊錄、信息、通話記錄、其他等九大類敏感權限，并要求用戶一攬子選擇“允許”或“取消”。

　　通過華為應用商店安裝融360和錢站時出現(xiàn)的提示。

　　另一款名為“金信寶”的App捆綁索取的權限也較多，當初次打開應用時，要求獲得“存儲”權限并提示有版本更新，更新安裝后申請獲取用戶GPS信息、讀取通訊錄、拍攝照片和視頻等12項權限。

　　金信寶要求安裝新版本。

　　一旦點擊“取消”，用戶即無法正常安裝這款App。南都記者在測評中發(fā)現(xiàn)，類似的問題至少出現(xiàn)在16款App內(nèi)，其中近一半為移動金融類App。

　　另有部分App存在不同意授權個別權限，無法正常使用的情況。比如“LOHAS樂活”，如果用戶不同意授權攝像頭、錄音權限便會出現(xiàn)頻繁彈出，無法使用的情況，“新浪有借”在用戶初次打開App時要求獲得存儲、電話權限，拒絕后也出現(xiàn)無法打開的問題。

　　“不同意就退出”，不授予權限連打開App的可能都沒有，這實際上是一種變相的強迫同意。

　　上海市信息安全行業(yè)息會副主任張威告訴南都記者，Android 5.0應用系統(tǒng)基本采用一攬子授權的方式，但隨著Android版本的升高，開始對權限的管理進行區(qū)分，獲取用戶敏感權限需經(jīng)過同意，但現(xiàn)階段仍有部分App存在這種打擦邊球的行為，模糊授權的界限。

　　根據(jù)《網(wǎng)絡安全法》第四十一條規(guī)定，網(wǎng)絡運營者收集、使用個人信息，應當遵循必要的原則，不得收集與其提供的服務無關的個人信息。南都記者關注到，今年2月，《個人信息安全規(guī)范》修訂草案中特別新增了“不得強迫收集個人信息的要求”。

　　App行為測試：用戶短信“老板該給我漲工資了”明文可見

　　在現(xiàn)實情況中，一款App在應用商店或首次開啟后顯示申請的權限并不意味著實際只調(diào)取這些權限。對用戶而言，也很難知曉相關代碼是否被執(zhí)行，或者有無足夠必要性。

　　為此，除了考察被測App隱私政策透明度，用戶端實際操作行為合規(guī)外，在此次測評中，南都個人信息保護研究中心分別通過兩個途徑，利用技術手段對部分App的iOS客戶端和Android客戶端個人信息收集情況進行分析。這兩種渠道分別是利用“直節(jié)隱私合規(guī)助手”進行測評分析，以及聯(lián)合第三方測評機構中國金融認證中心（CFCA）技術檢測手段進行分析。

　　根據(jù)中國金融認證中心（CFCA）的測試結果，Android版本號為3.4.6的“融360”存在如下問題：如果用第三方賬號登錄，App會將用戶第三方平臺上的社保與公積金查詢賬號密碼發(fā)送至己方的業(yè)務服務器，由后臺代為查詢，并且使用的是明文傳輸。

　　中國金融認證中心認為，如果明文傳輸，黑客很容易就能通過網(wǎng)絡嗅探和劫持的方法獲得這些信息，存在安全風險。

　　測試結果顯示融360在后臺明文傳輸社保賬號。

　　另一款名為“榕樹貸款”的Android 3.3.3版本App，除了存在上述行為，還被檢測捕捉到應用調(diào)用系統(tǒng)接口獲取通話記錄、聯(lián)系人信息、短信記錄等行為，并在數(shù)據(jù)流量中發(fā)現(xiàn)上送信息。在對“榕樹貸款”的短信記錄權限進行檢測時，類似“老板該給我漲工資了”的短信內(nèi)容明文可見。

　　測試結果顯示榕樹貸款獲取了用戶短信。

　　值得一提的是，檢測顯示，鐵友火車票在運行過程中會不斷獲取系統(tǒng)的剪切板內(nèi)容。

　　測試結果顯示鐵友火車票不斷獲取手機剪切板內(nèi)容。

　　此外，這款App還存在向第三方服務器明文傳輸用戶個人信息的行為。比如傳輸能夠標記到個人的用戶與設備之間的綁定信息，在運行中不斷獲取的地理位置信息不僅上傳到自身服務器，還向數(shù)個第三方服務器發(fā)送，過程中包含其他隱私信息。

　　鐵友火車票存在向第三方服務器明文傳輸用戶的個人信息行為。

　　直節(jié)隱私合規(guī)助手的測試結果顯示，鐵友火車票App向系統(tǒng)申請了17個敏感權限，但安裝包里存在敏感權限相關的API調(diào)用（有使用可能）則有19個，其中，讀取短信、接收短信等敏感權限是App中未申請但調(diào)用API的相關權限。這意味著，這款App自身或者集成的第三方工具包代碼中存在冗余代碼。冗余代碼具備在App版本更新時，在用戶不知情的情況下調(diào)用敏感權限的可能。

　　鐵友火車票獲取多項敏感權限。

　　此外，直節(jié)隱私合規(guī)助手測評結果顯示，一些App會使用大量的SDK（軟件開發(fā)工具包，可以理解為一種植入App的第三方工具包），這些SDK也會獲取使用權限，例如鐵友火車票App嵌入了56款SDK，融360也嵌入了49款SDK。不少SDK需要獲取用戶的網(wǎng)絡連接、精確地理位置、手機狀態(tài)與身份等用戶信息。

　　鐵友火車票A嵌入56款SDK。

　　融360嵌入49款SDK。

　　專家指出，獲取權限首先應該符合必要性原則，即與一定的場景與功能相關，沒有該項權限這一功能無法實現(xiàn)；其次應該獲取用戶的知情同意。但第三方SDK獲取的權限往往不會在一款App的隱私政策中提及，更不用說告知用戶具體使用的場景和功能，因此很難說已經(jīng)獲取了用戶的同意。

　　如何破解一攬子授權？專家意見不一

　　不難理解，在經(jīng)濟利益的驅(qū)使下，網(wǎng)絡運營者有著天然的沖動最大限度地收集個人信息。

　　“對廠商來講，能拿到的用戶信息越多越好，這有利于分析用戶的使用習慣。而知道了用戶習慣就能更好地推送產(chǎn)品。”中國網(wǎng)絡空間安全人才教育聯(lián)盟秘書長，廣州大學魯輝副研究員告訴南都記者，“但是絕對不能以犧牲用戶的隱私為前提。”

　　“從根本上說，這些為了占有更多數(shù)據(jù)的不合理的權限申請是對消費者基本權益的嚴重侵害，也是壟斷和不正當競爭無限孵化的溫床。”南京信息工程大學法政學院教授蔣潔直言。

　　如何打破一攬子授權，解決App過度收集個人信息的問題？有觀點認為，應對App調(diào)用的權限進行動態(tài)的單獨授權，以達到用戶信息最小化授權的效果。

　　南都記者注意到，這也是此次《個人信息安全規(guī)范》修訂草案提出的新方案，即當產(chǎn)品或服務提供多項需收集個人信息的業(yè)務功能時，平臺不得違背用戶的自主意愿，強迫用戶接受信息收集請求，不得通過捆綁各項業(yè)務功能的方式，要求個人信息主體一次性接受并授權同意各項業(yè)務功能收集個人信息的請求。

　　如何理解？魯輝對南都記者解釋，以某些需要身份識別的App為例，用戶在App上辦理業(yè)務時，需要用戶的人臉信息或者語音信息，這時就需要獲得手機的拍照和錄音權限。這個聽起來是合理的，使用的時候可能也是必須的。“但是問題在于，用戶是否有必要一直給予這種權限，還是說只需要在用到拍照或錄音功能的那幾分鐘臨時授權就行。”

　　在魯輝看來，從保護用戶隱私角度，應該是臨時授權，并且這在技術上實現(xiàn)起來并不難，但是很多App并未做到。

　　魯輝還表示，用戶在安裝App時需要有保護隱私的意識，不要隨意輸入自己的姓名、證件號、住址等信息，而諸如定位、通訊錄、通話記錄、攝像頭和錄音等敏感權限，在授予平臺時，需要格外謹慎。“當用戶的安全意識提高了，App開發(fā)者自然不敢隨便索權了。”魯輝說。

　　“如果一概要求重新授權，可能會降低用戶體驗。但一攬子的授權方式又會給個人信息安全帶來較大風險。”蔣潔對南都記者表示，目前獲得較多贊同的說法是區(qū)分功能性質(zhì)，對于App的基本功能或主體功能及其更新，可以進行一攬子授權，而對于拓展功能或輔助功能，則需要再次授權。

　　值得一提的是，App的信息安全已經(jīng)引起官方重視。今年1月底，中央網(wǎng)信辦聯(lián)合工信部、公安部、市場監(jiān)管總局等四部門表態(tài)，今年將在全國范圍內(nèi)發(fā)起專項治理活動。嚴重違法違規(guī)收集個人信息的App運營者，將被依法暫停相關業(yè)務、停業(yè)整頓、吊銷相關業(yè)務許可證或者吊銷營業(yè)執(zhí)照。

　　在蔣潔看來，除了大幅提升違法違規(guī)企業(yè)的懲罰力度，還需制定App過度索權的評估標準和有力的監(jiān)管體系，并健全救濟機制。

　　魯輝則表示，用戶在安裝App時需要有保護隱私的意識，不要隨意輸入自己的姓名、證件號信息，諸如定位、通訊錄、通話記錄、攝像頭和錄音等敏感權限在授予平臺時，需格外謹慎。

　　“當用戶的安全意識提高了，App開發(fā)者自然不敢隨便索權了。”魯輝說。

　　（文中小媛為化名）

　　統(tǒng)籌：南都記者 娜迪婭

　　采寫：南都記者 李玲 蔣琳 馮群星 尤一煒 錢柳君

　　作者：娜迪婭