2020年数字金融App安全观测报告_35页_2mb

数字金融App安全观测报告总结（2020年）

一、核心内容概述

本报告由中国信息通信研究院安全研究所与北京智游网安科技有限公司联合发布，旨在分析2020年上半年基于安卓系统的数字金融App在安全方面存在的主要风险与问题，包括高危漏洞、恶意程序、SDK使用风险及安全加固不足等。报告依据国家相关法律法规和政策文件，结合实际观测数据，为监管部门、开发运营者、分发平台及用户提供了安全工作的思路和建议，推动构建更安全的数字金融App生态。

二、主要观点与关键信息

1. 政策背景与安全现状

• 政策背景：近年来，国家高度重视移动应用安全，出台多项政策与标准，如《App违法违规收集使用个人信息行为认定方法》《个人金融信息保护技术规范》等，强化App个人信息保护与安全监管。
• 安全现状：数字金融App在提升服务效率的同时，也带来了严重的安全隐患，包括高危漏洞、恶意程序、SDK风险及安全加固缺失等问题。

2. 安全风险分析

（一）高危漏洞情况

• 共观测29065款金融行业App，检测出1861160条漏洞记录。
• 2020年上半年，存在安全漏洞的App占比从2019年的73.23%提升至90.12%。
• 高危漏洞Top10中，系统键盘使用风险漏洞、ZipperDown漏洞、SO文件加固检测漏洞首次进入榜单，分别占78.52%、65.58%、34.90%。
• 证券类、外汇类App高危漏洞比例高达96%以上，银行类、消费金融类App高危漏洞占比显著上升。

（二）恶意程序情况

• 检测发现8563款App存在恶意程序，感染率高达29.46%。
• 恶意程序类型包括隐私窃取、远程控制、恶意扣费、诱骗欺诈等，其中“流氓行为”占比最高，达93.83%。
• 广东、湖北、江苏三省是恶意程序感染最严重的地区，分别占45.21%、17.59%、12.73%。
• 投资理财类、消费金融类、数字货币类App感染率最高，分别占35.86%、14.75%、5.43%。

（三）SDK使用风险

• 6435款金融App使用了第三方SDK，占观测总数的22.14%。
• 金融行业App使用最多的SDK类型为推送类（36.29%）、统计类（22.48%）、社交类（13.92%）。
• 推送类SDK占比下降，统计类、社交类、框架类、地图类SDK占比上升，需关注其安全性。
• 2020年上半年，嵌入5个及以上SDK的App占比下降，表明SDK使用趋于规范。

（四）安全加固情况

• 仅4580款App进行了安全加固，占观测总数的15.75%。
• 安全加固主要由360、腾讯、爱加密、梆梆、百度等5家厂商提供，其中360占比最高，达64.96%。
• 加固App集中于广东、北京、上海等经济发达地区，其中河北的加固比例最高，达50.22%。
• 消费金融类、投资理财类App的加固比例较低，分别仅为6.29%、10.44%。

3. 侵害用户权益专项检测结果

• 抽样检测30款典型金融App，发现存在“违规处理用户个人信息”“设置障碍、频繁骚扰用户”“应用分发平台责任落实不到位”等问题。
• 违规处理用户个人信息：18款App存在违规收集、超范围收集个人信息行为，其中16款存在违规收集使用个人信息问题，3款存在超范围收集问题。
• 设置障碍、频繁骚扰用户：14款App存在权限索取问题，其中10款存在频繁索取权限，3款存在过度索取权限，2款存在强制索取权限。
• 应用分发平台责任落实不到位：个别分发平台存在审核不严、上架机制不完善等问题，导致存在漏洞或恶意程序的App上线。

三、安全工作建议

（一）App相关监管部门

• 完善法律法规体系，强化跨部门联动管理。
• 加强对App的持续监测与专项整治，推动形成全方位安全治理体系。
• 加大对违规App的处罚力度，提升行业整体安全水平。

（二）App开发运营者

• 提升安全意识，严格遵守个人信息保护相关法律法规。
• 采用最小权限原则，仅申请必要权限，避免超范围收集。
• 对第三方SDK进行安全检测，加强App安全加固与漏洞修复。
• 建立App安全管理机制，提升安全防护能力。

（三）App应用分发平台

• 落实平台管理责任，加强App上架前的安全审核。
• 明确App所需权限，向用户透明展示个人信息收集与使用情况。
• 定期开展网络安全评测，及时封堵漏洞与恶意程序。

（四）App用户

• 从正规渠道下载App，及时更新版本。
• 谨慎授权权限，关注隐私政策，避免敏感权限被滥用。
• 设置高强度密码，避免使用“一键登录”“自动绑卡”等弱验证方式。

四、总结

2020年上半年，数字金融App在安全方面面临严峻挑战，高危漏洞、恶意程序、SDK风险及安全加固不足等问题普遍存在。报告指出，广东、湖北、北京等地是安全问题高发区域，投资理财类、消费金融类App风险尤为突出。随着政策监管不断加强，App安全治理正在提速，但仍需各方共同努力，提升安全意识与技术防护能力，以构建安全、可信的数字金融App生态。