> 业界 >

手机App窃听用户讲话?专家:性价比太低

时间:2019-03-22 08:57:38       来源:澎湃新闻

澎湃新闻记者 杨鑫倢 张宁 实习生 柳童

今年1月,网民kaikai告诉澎湃新闻记者,自己某天中午跟朋友吃饭时,聊到过单反相机,随后12时22分又在微信群中提到“单反”,结果13时就收到了京东发来的关于单反相机促销的短信。

另一位网民小饭则表示,头一天在大学寝室里和室友聊天谈论到的蓝牙音箱,第二天就出现在了淘宝“有好货”的推送流中,品牌、型号都一样,“我平时完全不关注蓝牙音箱的,所以才觉得很奇怪,突然给我推荐这个。”

近日,消费者对于手机App会不会偷听用户讲话的担忧,开始蔓延。淘宝、京东、饿了么、美团点评、今日头条、百度等多款国内主流App,普遍受到用户质疑。

虽然几乎所有互联网公司都再三强调,不存在所谓窃听行为,但每当这样的怀疑和猜测被曝出,都会引发广泛讨论。

手机“窃听风云”究竟是阴谋论还是确有其事?这些所谓的“大数据智能推荐”,是真的智能,还是窃听所得?这些智能推荐能否关闭?澎湃新闻记者就此展开调查。

国内主流App获取麦克风权限理由

App、智能音箱、电视

不少国内网民讲述了自己疑似被手机App窃听谈话内容的经历。

上海的韩先生也向澎湃新闻记者表示,自己去年和女友在杭州九溪散步,其间女友提到想要买一双“溯溪鞋”,而当晚手机淘宝首个推荐商品正巧也是“溯溪鞋”。“我平时不爱运动,绝不会主动搜索这类相关商品,何况是精确到这三个字?”韩先生说。

类似的情况也在国外出现。有外媒记者发表文章称,自己和朋友在杂货店询问了解之后,买了一些此前未曾听过的品牌的啤酒。15分钟后,朋友的Instagram中便出现了该品牌啤酒的广告。另一篇报道中作者提到,自己在说过“下星期的聚会需要一些花”之后,Instagram里也出现了花店的广告。

现在很多App都希望获取手机麦克风权限,这背后究竟有何用途?

澎湃新闻记者查阅了国内几家主流App获取麦克风权限的理由,比如,淘宝、京东等电商App是出于让用户方便使用语音购物或与客服语音交互的目的,微信、QQ等社交App则出于语音输入或语音转文字等目的,美团点评等生活O2O平台则是出于分享点评视频等目的。

但是,这些App会不会假借获取摄像头和麦克风权限,随时监控用户的一举一动、一言一行?

国家信息安全漏洞库(CNNVD)特聘专家、北京未来安全信息技术有限公司CEO王英键(安全圈内被称作“呆神”)告诉澎湃新闻记者,技术上来说,的确可以实现窃听,苹果系统复杂一些,调取录音权限时,苹果系统会提醒用户;安卓系统相对容易,比如在安卓平台下植入木马,获得手机更高权限,通过篡改系统,来控制麦克风,截取数据。不仅可以窃听,还可以发出位置信息,有时候看上去关机了,但实际上它还在后台运作。

不过,记者了解到,目前基本上没有App会强制用户打开麦克风权限,如果不打开依然可以正常使用App。

安全专家李铁军告诉澎湃新闻记者,除了App,手机语音助手、智能电视、智能音箱也不能排除在“监听”你的可能。

国外网络安全公司Asterix的高级安全顾问Peter Henway曾向媒体表示,从技术上讲,手机只会记录用户发出“嘿,Siri”或“OK,谷歌”这样的触发词时所说的话,但是由于它需要捕捉用户所述关键词,手机是会一直保持监听状态的。

有法律人士表示,App利用获取的上述权限对用户进行24小时不间断的“监视”、“监听”,是受到国家法律法规的明令禁止的。

窃听成本高昂,开发一个木马成本十几万元

“但窃听在实际操作过程中面临很多挑战。”王英键分析道,无论是苹果还是安卓,从操作路径上来看,大量的录音内容需要分析才能有用,这不可能靠人来处理,那么就需要手机或者上传云端来进行,分析完关键词后再回传服务器,给用户推荐商品和信息,“如果在手机上进行,这样大规模的动作,会占用手机资源,拖累运行速度;如果上传云端,这些App都是上亿的用户量,则会产生巨大的流量,对公司来说是很大的成本。此外,还要考虑到谈话方言、噪音等干扰因素。”

而在安卓平台上,王英键还提到,如果窃听木马大范围应用,则会立即被安全厂商查杀病毒。此外,安卓8系统以后,对隐私提出更高要求,当App在后台操作时,对调用手机硬件更加规范。

王英键认为,窃听这种非法手段风险与收益并不成比例,成本非常高,比如开发一个木马的成本在十几万元左右,而最终推荐效果也并不一定有多好。

上海交通大学电子工程系无线通信研究所副教授钱良也表示:“严格意义上的实时窃听技术的确存在,但这类产品造价高昂且考虑到其特殊用途,目前在民用市场是不可能看到类似产品的。”

360安全专家也向澎湃新闻记者表示,对开发App的企业而言,这种行为会造成设备耗电量的大幅上升,用户体验严重下降,此外采集到的绝大部分都是无效数据,且体积巨大,传输、处理和存储这些数据都会带来极高的成本。因此正规App不可能利用摄像头和麦克风权限对用户进行“监视”、“监听”。

李铁军也表示,“一般情况下,手机、电视、音箱的这种监听,因为有系统沙箱隔离机制,App不会越权获取到数据。厂商目前也没有将数据交给第三方。当然,如果黑客攻击,则不好说了。”

Facebook广告部门有一位工程师Antonio García Martínez,在《连线》杂志上也曾撰文解释了为什么Facebook不能监听用户。他说了三点理由:

第一,监听用户产生的数据非常多,Facebook难负其重。

整个过程就相当于用户在持续不断地给Facebook打电话。以用户使用半天手机来计算,这一过程产生的数据仅在美国就有20PB,是Facebook每天处理数据的33倍还要多。而且,在“打电话”状态,也会影响手机的其他功能。

第二,像智能助手那样监控,Facebook很难做到。

智能语音助手都需要特定的触发词来唤醒,但Facebook没有特定的唤醒词,想从谈话中获取每一个对它有价值的关键词,需要在本地(手机上)将语音转换成文本进行识别。整个过程,就是算iPhone X,分分钟也得变成砖。

第三,用户语音数据,对广告商来说没多大价值。

京东、今日头条、饿了么、美团、百度回应

对于用户普遍关心的窃听问题,截至发稿,多家公司对澎湃新闻记者作出回应。

京东方面表示,京东绝不可能,也绝不允许有监听用户信息的情况出现。在京东的隐私政策条例中,有明确的规范指出将遵循国家的《网络安全法》基于“合理、相关、必要原则”收集个人信息,不会收集法律法规禁止收集的信息。而在收集、使用、存储和传输用户信息的时候,京东会明确告知用户相关信息的使用目的和范围。包括如果将用户信息用于新的目的或范围将重新获取用户同意,提供如何关闭位置、通知等授权的具体操作步骤等。

京东表示,如果用户对个人隐私的安全有担心,可以在京东App的账户设置中找到隐私设置,关闭需要访问用户相应数据的功能,且每一个功能都有相应的用途说明,以最透明的方式让用户掌控自己的隐私安全。

今日头条也回应澎湃新闻记者称,用户使用今日头条(包括字节跳动旗下产品)录制小视频记录生活时,需要使用到手机麦克风,但除非用户明确点击授权,否则,无论在何种手机机型上,今日头条旗下产品都无法取得用户的麦克风权限,无法收到用户的任何语音信号。用户可在手机设置“隐私-麦克风”中查看。

此前,在百度遭江苏省消费者保护委员会提诉、指控其旗下App涉嫌“监听电话、定位”后回应:百度App不会、也没有能力“监听电话”,而百度App敏感权限均需授权,且用户可自由关闭。

饿了么方面此前回应,所谓“监听用户日常对话并做信息分析”,是一种无端猜测,饿了么既没有做类似的产品设置,也不具备相关技术条件,饿了么严格保护用户隐私,任何必要的信息采集都会在取得用户事先同意的前提下进行,在合法合规的范围内使用。

美团点评方面则回应称,有关“根据麦克风收录的语音关键词为点外卖的用户做推荐”的行为并不存在,美团外卖只会在获得用户语音使用授权,且用户主动发起美团外卖App内的语音输入行为时,才会使用麦克风。此外,美团外卖仅会在用户表达了明确需求信息、进行主动查询后,才会进行相关推荐输出。

截至发稿,阿里巴巴方面尚未作出回应。

国外App允许用户智能推荐隐私设置,国内普遍关不掉

如果真的不是窃听,那么为什么如此巧合,出现了关联度如此之高的商品或内容?

有用户提到,昨天微信聊天说买钢琴,发了一个某款电子琴的淘宝链接,第二天朋友圈广告就精准推送了这款产品的广告。难道自己的聊天过程被监测了?

对此,腾讯微信团队向澎湃新闻记者表示,微信不留存任何用户的聊天记录,聊天内容只存储在用户的手机、电脑等终端设备上。微信不会将用户的任何聊天内容用于大数据分析。

关于品牌朋友圈广告投放的逻辑,微信团队解释,广告主可选择把广告投放给他们设定的目标人群,投放范围会非常广,而目标人群是基于用户群像的研究,微信不会针对某一个用户的隐私信息进行分析。“上千万的用户中有一位恰好之前提到过相关产品,也收到了关于该产品的广告,用户便误以为二者有因果关系。”

京东商品推荐也是类似的逻辑。京东方面告诉澎湃新闻记者,之所以用户感觉我们好像知道你想要什么,是基于京东的大数据搜索推荐能力,通过用户在搜索、购物行为等产生的大数据,例如消费习惯、品牌偏好等信息,以及京东多年积累的用户画像数据,京东可准确预测用户可能感兴趣和关注的商品,进而出现在个性化推荐当中。

安全专家李铁军告诉澎湃新闻记者,窃听可能只是用户的幻觉,“如果用了一堆相关的App,就有可能看到似曾相识的商品了。”

他所提到的场景,则是又一种情况。

比如,有用户提到,淘宝上刚把一款“娃娃领粉色中长款毛呢外套”加入了购物车,之后打开了今日头条,刚刚搜的那款“娃娃领外套”的广告出现在头条页面上。

或者,在京东搜了“充电宝”,接着打开微信,在微信公众号的广告栏中看到了刚刚这款充电宝。

这是一种已经在全球范围内容成熟应用的广告技术——程序化广告。程序化广告可以实现跨平台营销,这背后有统一用户ID识别,但不会掌握用户个人信息。对于用户来说,程序化广告因其千人千面的精准推荐,常展现出“比你还懂你”的特性。

据了解,淘宝和今日头条、京东和微信都在广告层面分别有合作。

另外,安全专家还提到,如果手机上用了第三方输入法,也有一定概率可能出现“输入什么接下来就能看到相关推荐”的可能。虽然搜狗等输入法不会主动将用户输入数据共享给第三方的说法,但不排除一些黑客基于漏洞去偷录用户信息的可能。

实际上,有熟悉黑产的人士向澎湃新闻记者直言,通过麦克风窃听谈话来获取用户信息,只是万千选择中的一种,而这种方式非常低效,却是大家最敏感的。各大公司如果真的想要“窃听”一个人的信息与状态,有太多太多的方法。

“比如接入所谓的第三方营销系统。”上述人士表示,第三方营销系统的数据有一部分是正规获取,但也有一部分营销系统是从黑市获取。“黑市上已经有大量用户信息,从用户偏好、特征到预测收入区间,对应手机号和手机mac地址。”

而这也是央视3·15晚会曝光探针的工作原理,探针只能获知MAC地址,怎么从MAC地址关联到手机号,则需要黑市的这些数据库。

据央视3·15晚会报道,在商场、超市、便利店、写字楼等地,有一些探针小盒子,去发现附近打开无线局域网(Wi-Fi)的手机设备,随后迅速识别出用户手机的MAC地址,转换成IMEI号,再转换成手机号码。在用户毫不知情的情况下,搜集个人信息,甚至包括婚姻、教育程度,收入等大数据个人信息。

黑市上为什么存在大量用户信息?有黑产人士如此说道,“现在我们在安装软件的时候,首先第一步需要我们填用户服务条例,必须点击同意,安装好了以后要求开权限,是否访问用户通讯录,访问手机文件夹,电话记录,短信,允许之后才可以使用软件,然后通过你使用软件适合,所产生的用户数据,可以用于商业营销用途的。”

不过,澎湃新闻记者查询淘宝、京东等App隐私策略,这些互联网公司都表示,会通过技术手段对用户个人信息等数据进行匿名化、去标识化处理,无法识别特定自然人身份信息。

特别是,用户比较关切的阿里系平台之间的数据打通,《淘宝网隐私权策略》写明:个人信息可能会与关联公司共享,比如会向合作伙伴提供有关广告覆盖面和有效性的信息,但不会提供用户个人身份信息。这些合作伙伴可能将上述信息与他们合法获取的其他数据相结合,以进行广告或决策建议。

那么,如果用户还是不放心,是否能关闭智能兴趣推荐功能呢?

澎湃新闻记者查询并询问了多家国内互联网大型公司,大多数没有得到答复,一部分则明确表示目前没有这一功能。

3月20日,记者发现,今日头条App中目前可以支持用户关闭程序化广告。如果关闭,用户看到的广告数量保持不变,但广告相关度会降低。

标签: 手机 App 窃听