《2019金融行业移动App安全观测报告》_37页_1mb

2019金融行业移动App安全观测报告总结

核心内容

中国信息通信研究院安全研究所发布的《2019金融行业移动App安全观测报告》旨在分析金融行业App的安全现状与风险，为提升金融行业App安全水平提供参考建议。报告基于对133327款金融行业App的观测，涵盖了漏洞扫描、病毒检测、SDK分析、权限获取、安全加固等多个维度，揭示了当前金融行业移动App存在的主要安全问题。

主要观点

• 高危漏洞普遍存在：70.22%的金融行业App存在高危漏洞，其中动态注册Receiver、Janus漏洞和WebView远程代码执行漏洞最为突出。
• 恶意程序感染风险严峻：6.16%的金融行业App被检测出含有恶意程序，其中以流氓行为为主，占比高达82.02%。
• 第三方SDK引入安全风险：20.48%的金融行业App使用第三方SDK，其中45%的App嵌入5个及以上SDK，存在信息收集和代码漏洞风险。
• 违规索权侵犯隐私：12款下载量过亿的金融行业App存在超范围索取权限和隐私政策不规范的问题，给用户隐私带来隐患。
• 安全加固不足：仅有17.08%的金融行业App进行了安全加固，大部分App未采取有效防护措施，存在被反编译、篡改等风险。

关键信息

1. 金融行业App数量与分布

• 截至2019年9月11日，共观测133327款金融行业App。
• 广东、湖北、北京分别为前三名，分别占比29.60%、21.30%和12.96%。
• 西藏、青海等省份占比极低，仅为0.18%。

2. 高危漏洞情况

• 共检测出1979696条漏洞记录，涉及60种漏洞类型，其中21种为高危漏洞。
• 平均每款App存在20.3个安全漏洞，其中6.7个为高危漏洞。
• 互联网第三方支付和信托类App高危漏洞比例高达93.87%和93.44%，保险、投资理财、外汇类App也面临较高风险。

3. 恶意程序感染情况

• 共有8217款App被检测出含有恶意程序，感染率6.16%。
• 恶意程序类型包括流氓行为、信息窃取、恶意传播等。
• 江苏、广东、北京为感染率最高的省份，分别占37.63%、30.16%和12.56%。

4. SDK使用情况

• 20.48%的金融行业App使用第三方SDK，平均每款App嵌入3.8个。
• 推送类SDK使用最广泛，占比73.11%；框架类和广告类SDK在金融行业App中使用较少，分别占3.42%和0.28%。
• 金融行业App中使用支付类SDK的频率相对较低，存在安全隐患。

5. 权限滥用与隐私泄露

• 12款App存在超范围获取权限和隐私政策不规范的问题。
• 高敏感权限如READ_PHONE_STATE和WRITE_EXTERNAL_STORAGE被普遍获取，可能造成用户隐私泄露。
• 部分App在注销账号时要求用户提供大量敏感信息，违反隐私保护原则。
• 部分App未单独提供隐私政策，违反相关法规。

6. 安全加固情况

• 仅有17.08%的金融行业App进行了安全加固，80%以上未进行任何加固。
• 360、腾讯、梆梆等安全服务商是主要的加固平台。
• 山西省App加固比例最高，达到41.65%，而湖北、湖南、广东、内蒙古、陕西等省份的加固比例未达行业平均水平。

建议与措施

1. 相关行业主管部门

• 完善App安全法律法规和标准规范体系。
• 建立App安全等级保护测评制度。
• 加强App治理，规范个人信息收集、使用和存储行为。

2. 应用商店运营者

• 严格审核App，确保其符合安全规范。
• 协助开展App安全检测和认证工作。
• 引导用户下载通过安全认证的App。

3. App开发者

• 明确业务需求，规范App开发流程。
• 提高安全意识，合理使用第三方SDK。
• 主动进行App安全检测和加固，及时修复漏洞。

4. App使用者

• 从正规应用市场下载App，避免点击不明链接。
• 使用高强度密码并定期更换。
• 定期更新系统和App，安装安全软件以修补漏洞。
• 提高隐私安全意识，避免过度授权。

附录摘要

• 附录A：金融行业App地域分布表，广东、湖北、北京为前三位。
• 附录B：金融行业App分类逻辑及典型应用，涵盖消费金融、彩票、投资理财等13类。
• 附录C：Top10高危漏洞说明，包括Janus漏洞、WebView远程代码执行漏洞等。
• 附录D：App恶意程序类型解释，涵盖流氓行为、信息窃取、恶意传播等。
• 附录E：受到恶意程序感染的App地域分布表，江苏为感染数量最多的省份。

总结

本报告全面揭示了2019年金融行业移动App的安全现状与风险，指出了高危漏洞、恶意程序、SDK风险、权限滥用及安全加固不足等主要问题。为保障金融App安全，需多方协同努力，包括政府监管、应用商店审核、开发者合规开发及用户安全意识提升。报告为金融行业App的安全治理提供了重要依据和方向。