南都_CFCA-常用第三方SDK_收集使用个人信息测评报告-2019.7-15页_4mb

常用第三方SDK收集使用个人信息测评报告总结

核心内容

本报告由南都个人信息保护研究中心与中国金融认证中心 (CFCA) 联合发布，旨在分析市场上常用的第三方SDK在收集和使用用户个人信息方面存在的问题。报告选取了60款用户量较大的App，涵盖社交交友、生活服务、休闲娱乐、购物导购、旅游交通、移动金融六大行业，通过逆向分析、抓包、函数挂钩等技术手段对SDK的行为进行评估。

主要观点

1. SDK使用普遍，存在安全风险

• 60款App共使用了至少966个SDK，平均每款App使用19.3个。
• 消息推送类SDK被调用最多，共264次。
• 头部互联网公司的SDK使用广泛，如腾讯、小米、华为、阿里、Facebook等，覆盖社交分享、第三方登录、消息推送、支付等功能。

2. SDK收集用户个人信息情况严重

• 信息收集类别包括：手机设备信息、网络信息、手机状态信息、用户行为信息、用户个人信息（如电话号码、地理位置、通话记录等）。
• 150个SDK获取了IMEI、IMSI等设备唯一识别码，35个以上SDK获取了Wi-Fi连接信息、热点信息等网络信息。
• 32个SDK获取了用户地理位置信息，10个SDK获取了用户行为信息（如锁屏、安装/升级/卸载App）。
• 一些SDK收集了个人敏感信息，如电话号码、传感器数据（如步数、心跳）等，但未在App的隐私政策中告知用户。

3. 部分SDK存在隐瞒收集行为

• 通过对比SDK申请的系统权限与实际收集的信息，发现三成主流SDK收集的信息超出了其声明的权限范围。
• Ping++、TalkingData、友盟等SDK收集了支付卡信息、地理位置、传感器数据等敏感信息，但未明确告知用户。
• 部分SDK向服务器传输未经加密的个人信息，如位置信息，增加了信息泄露和滥用的风险。

关键信息

1. SDK使用情况

• 平均使用数量：19.3个/款App。
• 使用最多的SDK：
  • 微信SDK（47款App）
  • 腾讯Open（41款App）
  • 小米推送SDK（40款App）
• 其他广泛使用的SDK：支付宝、华为、Facebook、爱彼迎等。

2. 信息收集情况

• 设备信息：150个SDK获取IMEI、IMSI等。
• 网络信息：35个以上SDK获取IP地址、MAC地址、Wi-Fi热点等。
• 用户个人信息：
  • 支付宝SDK获取手机号（仅在每日优鲜App中）。
  • TalkingData SDK获取地理位置（宜人财富、宜人贷借款App中）。
  • 一些SDK获取了环境或通话录音（如讯飞SDK、声网SDK）。

3. 隐私政策缺失或未明确告知

• 部分App未在隐私政策中提及SDK收集的信息，如：
  • 中国银行手机银行App的讯飞SDK获取环境或通话录音。
  • 宜人财富和宜人贷借款App的TalkingData SDK获取地理位置。
• 用户知情同意权未得到充分保障，即使信息并非App核心功能所需，也应通过弹窗告知用户。

4. SDK权限与数据收集的不匹配

• 10个主流SDK申请的系统权限与实际收集的个人信息存在差距。
• 极光数据分析SDK申请权限最多（14项），但部分SDK收集的信息超出了其声明的权限范围，存在隐瞒收集的可能。

结论

1. 头部互联网公司SDK使用广泛，涉及多种功能类别。
2. 多个SDK收集个人敏感信息，但App未告知用户。
3. 部分SDK存在隐瞒收集用户个人信息的行为，违反了用户知情同意原则，增加了数据泄露和滥用的风险。

声明与保留

• 本报告不保证覆盖所有SDK及其行为。
• 采样时间截止于2019年4月，后续隐私政策和功能可能有所调整。
• 南都个人信息保护研究中心保留最终解释权。

联系方式

• 邮箱：ppa-nandu01@163.com
• 微信公众号：【隐私护卫队】