來源：新商紀

作為日活超過3億用戶的超級電商平臺拼多多，繼3月份被谷歌發現其應用存在惡意軟件問題而將其在谷歌Play應用商店下架之后，最近又被網友曝出其旗下多多買菜門店端APP存在非法監聽并盜取用戶手機隱私信息的問題，包括劫取通知欄信息，偷偷記錄、實時反饋用戶使用手機等。

這個爆料內容來源于國內一知名技術論壇，爆料者通過代碼分析等形式為大家上了一場關乎隱私安全的課程。

爆料內容顯示：在多多買菜門店端App里，有一個名為NotificationUtils的工具，可以實現檢查當前應用是否允許通知、獲取通知權限狀態并記錄、獲取通知欄中的通知數量并內部調用。

也就是說，當用戶手機安裝了多多買菜門店端App，其通知欄就相當于開放給多多買菜，包括推送到通知欄的信息的App名稱、推送時間，以及推送標題、正文、用戶ID等內容。

說白了即你的手機通知欄里面的各種信息詳情被多多買菜非法盯上且被利用了。比如顯示在用戶通知欄的微信聯系人昵稱、頭像、微信信息的內容，微博、短信推送內容，甚至銀行手機客戶端所推送的消費記錄如時間、銀行卡尾號、消費金額、消費渠道，行程提醒中的時間、車次等，都能被多多買菜門店端App后臺抓取到。

細思極恐，只要是安裝了多多買菜門店端APP的用戶們，隱私信息幾乎呈現裸露狀態。作為受害者，如果你想找多多買菜討要一個說法的話，它可能給出的理由是“你默認允許多多買菜門店端的系統隱私協議了”。

從多多買菜門店端的系統隱私協議中可以看到“當用戶點擊接收協議，這款App將獲取用戶設備類型、設備型號、MAC地址及IMEI、設備設置、設備儲存空間、移動應用列表等軟硬件信息；同時當用戶訪問或使用多多買菜門店端App時，系統將自動接受并記錄用戶的瀏覽器、計算機上的信息，包括但不限于IP地址、瀏覽器類型、搜索記錄、瀏覽記錄、瀏覽習慣等。”

這等于是把用戶的隱私信息“合法商業化應用了”。而那些下載多多買菜門店端的用戶們或許并沒有去看和正確理解這套系統協議內容的能力，導致用戶隱私信息被惡意利用，陷入了惡性循環當中......

此外，爆料帖還提到，多多買菜門店端App，對用戶的手機可以實施遠程控制，這可能會導致用戶手機被監聽以及被安裝惡意軟件、遭受病毒攻擊等結果。

其實，除了這次多多買菜門店端APP被曝通過技術手段監聽并獲取利用用戶隱私信息之外，此前拼多多APP中出現惡意代碼就被國際知名網絡安全公司卡巴斯基證實過。

網上也有相關的報道，比如卡巴斯基對第一財經回應稱：“已經從安全研究員 Igor Golovin 那里得到了評論，拼多多APP的部分版本包含惡意代碼，利用已知的Android漏洞提權，下載并執行額外的惡意模塊，其中一些還獲得了訪問用戶通知和文件的權限。我們的產品將這些版本檢測為 HEUR:Backdoor.AndroidOS.Pinduo.a 。該應用程序的受感染版本是通過一個本地應用程序商店分發的。”

在全球最大的私有軟件項目托管平臺Github上，有人公布了拼多多惡意行為報告的PDF版本。它從技術層面詳細分析了拼多多是如何侵害用戶隱私行為的，相當于提供了更確鑿的證據。

報告中指出，拼多多總體惡意?為圍繞著獲客、促交易、高日活三個目的，具體?為可分為保活、誘導欺騙、防卸載、信息收集、攻擊感染五個?類。

其中，高日活目的主要由以下?類?為實現：保活行為、誘導欺騙?為、防卸載?為、攻擊感染?為。而獲客?的由以下?為實現：遠程靜默安裝?為和鏈接偽造?為。

這又讓我聯想到早在2021年，知乎上有個熱搜榜第一的話題，就是關于拼多多與黑客攻擊方面的。話題為“如何看待天才黑客Flanker疑因拒絕做黑客攻擊業務，被拼多多強行辭退，錯失上億股票？”。

默安科技創始人兼CTO、原阿里集團安全研究實驗室總監云舒也曾發微博支持 Flanker。當日下午，Flanker連發三條微博，內容涉及「幫助信息網絡犯罪活動罪」，也促使該事件進一步發酵。

“疑因拒絕做黑客攻擊業務”，這不僅讓人浮想連連......

綜合下來看，拼多多這家公司著實存在為了自己的商業利益而利用技術手段非法獲取用戶隱私的一些事情。在講究科技向善的今天，拼多多顯得似乎有點背向而行。

2021年施行的《網絡產品安全漏洞管理規定》第四條明確規定：“任何組織或者個人不得利用網絡產品安全漏洞從事危害網絡安全的活動，不得非法收集、出售、發布網絡產品安全漏洞信息；明知他人利用網絡產品安全漏洞從事危害網絡安全的活動的，不得為其提供技術支持、廣告推廣、支付結算等幫助。”

2月27日，工信部又發布了26條措施，聚焦APP安裝卸載、服務體驗、個人信息保護、訴求響應等，針對性地提出了改善措施；同時對 APP 開發運營者、分發平臺、SDK（軟件開發工具）、終端和接入企業細致地劃分了責任。

保護公民信息是每個企業都應該遵循的底線，尤其在大數據主導的今天，如何能夠保持個人信息的合法使用，這是一個動態問題。但是企業不能夠利用黑客等手段非法獲取公民隱私，來破壞合理競爭的商業環境，這個容易讓人鄙視。