世界级安全公司直指顺网科技通过12款软件窃取上亿中国人隐私

一家中国公司一直默默地从Android手机上传数百万人的联系人列表。它仅针对中国吗? 不确定。

图片来源: IC photo

作者:国际投行研究报告

《顺手牵羊:偷窃者在行动》,世界级安全公司以色列Check Point指杭州顺网科技通过12款软件偷取中国上亿人的通讯录信息,包括你我他!

一家中国公司一直默默地从Android手机上传数百万人的联系人列表。它仅针对中国吗? 不确定。 但如果你在中国朋友的联系人名单上,你的名字很可能就在名单上,这是Check Point分析师写下的一段话!

而对于中国人来说,你我他,也许早就在这家公司——顺网科技(300113.sz)是数据库中.

一边是一个世界级安全公司以色列Check Point,Check Point何许人也,在网络安全领域无人不知,他是网络防火墙的发明人。记得以前在学校学到信息安全的课程的时候,都是以这个公司为学习对象。中国的很多安全公司也是对标Check Point。

一边是一家在深圳证券交易所上市的游戏公司顺网科技(300113.sz)。中间是4万名左右顺网科技的投资者股东。

3月15日,Check Point在一份研究报告中指出, 顺网科技的12款游戏会收集通讯录等数据,预计的下载人数为1.11亿次,从理论上讲,可以收集中国三分之一人口的姓名和联系电话。这些软件只限中国国内,而且不感染美图手机。对此,顺网科技在公众号上发布了一则简短声明,表示“不存在”,当作为一家游戏公司,面对一家世界级安全公司的“指控”,如此轻描淡写的回复显然“举重若轻”了,根据网络安全法,通讯录等个人信息属于个人隐私的范围,而顺网科技是否有偷取个人信息的问题,显然应该由国家信息安全权威机构界定而不是顺网科技自己,有关主管部门也应该立即界入调查。

3月13日,世界级网络安全公司,美国上市的Check Point发表一份题目为“Operation Sheep:Pilfer-Analytics SDK in Action”的研究报告,估计报告的作者是一个游戏玩家,因为Operation Sheep 最早就是一款用羊做防御的策略游戏。

中文大概可以翻译成 《顺手牵羊:偷窃者在行动》,该研究报告指出,杭州顺网科技将其打造的SWAnalytics SDK,嵌入12款Android应用内。该SWAnalytics会不经用户的同意下,偷偷地把手机上的通计录上传到该公司的伺服器上,预计总下载量已经1.11亿次,估计该公司至少已搜集中国三分一的人口姓名及电话号码。

凌通社找到了其中一个作者feixiang he的推,2011年加入Check Point,应该是一名资深的研究员。

一家中国公司一直默默地从Android手机上传数百万人的联系人列表。它仅针对中国吗? 不确定。 但如果你在中国朋友的联系人名单上,你的名字很可能就在名单上

Check Point预计这些通讯录可能被用来作传销,目标避验,或者应用于一些友人推荐的计划内。不过,SWAnalytics不会搜集Android 6.0或以前用户的通讯录,而且会放过美图手机的用户,原因未明。

【12款抢取用家通讯录名单Android应用】

“来电闪光灯(来电手电筒)”

“测速大师(网络速度大师)”

“电池医生(电池医生)”

“Wi-Fi密码神器(Wi-Fi密码密钥)”

“Wi-Fi信号增强器(Wi-Fi信号放大器)”

“氧秀直播(Syoo Video)”

“充电加速器(Super Battery Charge)”

“快乐捕鱼(快乐钓鱼)”

“快乐捕鱼(快乐钓鱼)”

“快乐电玩捕鱼(快乐钓鱼)”

“91Y直播”

“91Y游戏”

奇怪的是,也可能中国人对于个人隐私不太重视,网络上似乎对这样重大的个人隐私事件没多大反应,凌通社查了一下华为应用市场,这些应用照样在下载。

以下是中国台湾媒体的报道,凌通社摘要入下:

Check Point建议如已安装以上12款的Android Apps的用户,尽快移除,虽然受影响的用户的通讯讯已被搜集,但该该SWAnalytics是当用户开启相关应用或重新启动手机时,便会悄悄搜集手机上的通讯录资料,若用户时不时会有新的通讯录更新,还是删除为妙。幸运的是,受影响的Android Apps未来Google Play上发现,主要出现于中国程式市集,如:华为应用程式市集,小米应用商店,360手机助手,百度手机助手等。

CheckPoint揭露,被称为“顺手牵羊行动Operation Sheep”的活动,借apps内的SDK搜集用户的通讯录。而不知什么原因,美图手机用户不受影响。

凌通社在Check Point的另外一篇叫做“移动供应链攻击不仅仅是一个烦恼”的文章中,也认为通过移动攻击手机获取个人信息是一个巨大的问题。

感染供应链

Check Point Research最近发现了一组Android应用程序,将恶意软件隐藏在货币化软件开发工具包(SDK)中,名为SWAnalytics,它被集成到主要第三方中文应用程序商店中发布的看似无关的Android应用程序中。安装应用程序后,每当SWAnalytics感知到受害者打开受感染的应用程序或重新启动他们的手机时,它会默默地窃取并将其整个联系人列表发送到远程服务器。

到目前为止,12个受感染的应用程序在被下载,其中大部分是系统实用程序应用程序,已经下载了超过1.11亿次的惊人总数。从理论上讲,这意味着攻击者可以收集中国三分之一人口的姓名和联系电话。

当然,这些数据可以在地下市场流通以进一步利用,包括流氓营销,有针对性的电话诈骗或朋友推荐计划滥用。

顺网声明:不实 损害声誉

对于Check Point的报告以及自媒体的披露,顺网科技3月14日在其公司公众号发文,表示不实,损害声誉,保留留法律权利。而评论中也再三表示自己没问题。

凌通社认为,顺网发了声明,但顺网只是一个游戏平台公司,似乎没有网络安全的资质。而且作为上市公司,这么大一个事情也不发个公告,显然过不了关,为了确保顺网没有问题,顺网只需要做2件事,第一起诉Check Point,第二找中国网络安全审查技术与认证中心认证。

事实上,据国家市场监督管理总局发布的消息显示,为规范移动互联网应用程序(以下称App)收集、使用用户信息特别是个人信息的行为,加强个人信息安全保护,根据《中华人民共和国网络安全法》《中华人民共和国认证认可条例》,市场监管总局、中央网信办决定开展App安全认证工作。

通知称,App安全认证活动依据《移动互联网应用程序(App)安全认证实施规则》开展。从事App安全认证的认证机构为中国网络安全审查技术与认证中心,检测机构由认证机构根据认证业务需要和技术能力确定。

同时,认证机构和检测机构应按有关规定,客观、公正地开展认证和检测活动,并对认证和检测结果负责。国家鼓励App运营者自愿通过App安全认证,鼓励搜索引擎、应用商店等明确标识并优先推荐通过认证的App。

顺网科技应该还自己一个清白,证监会和交易所应该好好问询,信息安全主管部门,工商管理部门也应该出手了,为了你我他的个人隐私!

声明:本文内容仅代表该投稿文章作者观点,不代表蓝鲸号立场。 未经授权不得随意转载,蓝鲸号保留追究相应责任的权利