2022年上半年《全國移動互聯網應用安全報告》

　　第一章 移動互聯網應用概況

　　2022年，各監管部門持續推進App侵害用戶權益專項整治行動，加大了常态化檢查力度，針對App超範圍、高頻次違規索權，如非服務場景所必需的收集用戶個人信息、欺騙誤導用戶下載等違規行為進行了檢查，并對未按要求完成整改的App進行了通報，上半年工信部共通報了4批次，總計255款應用。此外，工信部加快發布實施《移動互聯網應用程序個人信息保護管理規定》，持續開展專項整治、突出整治重點問題、加大技術檢測，從完善制度、強化監管、優化感知等多個方面入手，開展綜合治理，打好組合拳，為用戶營造一個安全可靠的信息通信環境。本章主要介紹全國移動互聯網應用的總量、地域分布、功能分類分布、分發渠道和下載量等情況。1.1移動應用總量的綜合統計

　　截止到2022年6月，Android應用共計3459400款，其中有運營者/開發者信息，歸屬地明确為的應用共計902620款，占比26.09%;未标注運營者/開發者信息，歸屬地不明确的應用共計2556780款，占比73.91%。iOS應用共計2493053款;微信公衆号5624483個;微信小程序1228289個。具體情況見下圖。

　　移動應用分布情況 2022年上半年，Android應用總計新增243037款，年增長7.56%，6個月依次增長1.34%、1.13%、1.43%、1.26%、1.03%、1.14%，呈現不斷增加的發展趨勢。

　　2022年各月應用新增量及增幅1.2移動應用的區域分布通過分析運營者/開發者明确的移動應用發現，廣東省移動應用數量位居，占總量的31.66%;其次是北京市，占總量的19.02%;上海市位列第三，占總量的9.82%。浙江省和江蘇省以6.80%和5.33%的占比，分列第四和第五。需要注意的是，難以落實運營者/開發者的移動應用往往容易成為安全管理的難點。

　　移動應用區域分布TOP101.3移動應用的功能分類分布根據移動應用的功能來看，移動應用可細分為遊戲應用、生活實用、系統工具、辦公學習、資訊閱讀等主要類型。其中，遊戲類移動應用數量占總量的43.28%，位居第一，遠高于其他類型;生活實用類移動應用數量占總量的9.82%，位居第二;系統工具類應用數量占總量的5.65%，位居第三。顯示出移動應用主要集中在與日常生活緊密聯系的娛樂、生活和學習領域，此類移動應用使用頻率高、獲取個人信息較多，安全風險較大。

　　移動應用功能分類分布TOP101.4移動應用的分發渠道分布移動應用分發渠道主要包括應用商店、貼吧和論壇等。全國移動應用分發渠道總計約1000+個。從在架應用的分布來看，渠道占比排名前三的分别為360市場、應用寶和豌豆莢，下圖為移動應用分發渠道排行TOP10。

　　移動應用分發渠道排行TOP101.5移動應用的下載量統計綜合全國移動應用分發渠道的下載量統計，累計下載量的是北京微播視界科技有限公司開發的“抖音”(com.ss.android.ugc.aweme)，下載728億次，屬于“影音播放類”應用;其次是上海尋夢信息技術有限公司開發的“拼多多”(com.xunmeng.pinduoduo)，下載709億次，屬于“網上購物類”應用;排名第三的是南京尚網網絡科技有限公司開發的“WiFi萬能鑰匙”(com.snda.wifilocating)，下載552億次，屬于“生活實用”應用。顯示下載量較高的主要是影音播放、網上購物等生活實用類應用，與民衆生活息息相關。

　　移動應用下載量排行TOP101.6活躍移動應用的功能分類分布活躍移動應用(即三個月内有更新的應用)總計112205款。從功能分類來看，遊戲類應用活躍度，占總量的47.49%;生活實用類應用排名第二，占比7.76%;辦公學習類應用排名第三，占比7.36%。遊戲類應用總量且更新頻率較高，需要着重關注其風險。生活實用類應用和辦公學習類應用獲取個人信息較多、使用頻率高，需加強關注。

　　活躍移動應用的功能分類分布TOP10第二章 移動互聯網應用個人信息采集概況

　　移動互聯網應用在收集個人信息時，應當根據業務需要收集用戶信息，必須遵循“最小必要”的基本準則。但随着移動互聯網應用收集用戶個人信息的技術實現途徑多樣化，其中有部分出現了違規收集的情況，包括違規收集個人信息，或通過文字遊戲誘導用戶同意。另一種是未以清晰限定收集的目的、方式及範圍，例如超範圍收集個人信息，給用戶隐私和利益帶來潛在風險和危害。本章主要介紹移動互聯網應用個人信息采集合規性抽樣檢測和存在合規性問題的應用的功能類型分布等情況。2.1個人信息敏感權限采集情況

　　對全國2022年1-6月有更新或新上架的移動互聯網應用所獲取的敏感權限進行分析，共發現存在獲取敏感權限的應用87062款。其中，申請儲存相關權限的應用最多，占總量的92.32%;其次是申請電話相關權限的應用，占總量的84.43%;排名第三的是申請位置相關權限的應用，占總量的65.56%。排名前三的個人信息敏感權限占比均在50%以上，且存儲權限占比接近，顯示移動互聯網應用對個人信息相關的敏感權限獲取存在過度的風險。

　　應用獲取個人信息相關的敏感權限TOP102.2個人信息采集合規性抽樣檢測情況 2022年上半年，對78462款移動互聯網應用進行個人信息合規性抽樣檢測發現，存在“違規收集個人信息”的占比27.35%;存在“超範圍收集個人信息”的占比25.30%;存在“App強制、頻繁、過度索取權限”的占比5.46%。違規和超範圍收集個人信息成為最主要也是最嚴重的個人信息采集違規情況，背離了采集個人信息應遵守“最小化原則”的法律規定。開發企業、運營企業作為責任主體應提高認識，嚴格自律，而廣大用戶需要提高隐私保護意識，不輕易安裝來源不明的移動應用。

　　個人信息違規類型分布2.3個人信息違規應用的功能類型分布情況從功能類型分類來看，各類功能應用中，存在違規問題占比的是旅遊出行類，占該類型應用檢測總量的40.75%;其次是遊戲類，占該類型應用檢測總量的38.27%，位居第二;網上購物類占該類型應用檢測總量的38.22%，位居第三。分析還發現，個人信息檢測違規應用功能類型分布排名靠前的十大類移動互聯網應用的違規問題占比均在35%以上，表明當前移動互聯網應用違規問題相對嚴峻，仍需加強治理。

　　個人信息檢測違規應用功能類型分布TOP102.4數據明文傳輸類型情況個人信息合規性檢測結果顯示，有10394款移動應用存在“明文傳輸”的違規情況。分析傳輸個人信息類型發現：傳輸“個人基本資料”的應用占比，高達66.34%;其次是傳輸“個人常用設備信息”的應用，占比為64.37%;排名第三的是傳輸“網絡身份标識信息”的應用，占比為60.69%。此外，個人健康生理信息和個人位置信息也是明文傳輸占比較高的信息類型。用戶的個人信息在信息傳輸過程中容易出現個人信息洩漏，建議開發者針對“個人信息傳輸”進行加密處理。

　　明文傳輸個人信息類型TOP10第三章 移動互聯網應用數據跨境傳輸概況

　　在經濟全球化和大數據發展背景下，數據開放和共享，尤其是跨境傳輸事關國家數據安全和數字經濟發展。中華人民共和國網絡安全法第三十七條明确了：關鍵信息基礎設施的運營者在中華人民共和國境内運營中收集和産生的個人信息和重要數據應當在境内存儲。因業務需要，确需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估;法律、行政法規另有規定的，依照其規定。本章主要介紹移動應用跨境數據傳輸目的地和應用功能分類等情況。3.1數據跨境傳輸的移動應用概況

　　對2022年上半年更新或新上架的131999款移動應用的數據傳輸行為進行檢測發現，存在“将數據傳輸至境外服務器”的移動應用占比2.53%。顯示部分移動應用涉及數據跨境傳輸，需警惕在合規性方面可能存在的風險和隐患。

　　數據跨境傳輸的移動應用占比情況3.2數據跨境傳輸目的地分布檢測發現關聯境外IP或域名的移動應用共計3328款，數據流向多個國家和地區。具體來看，數據跨境傳輸目的地的是美國，占比61.70%;排名第二的是中國香港，占比21.01%;排名第三的是新加坡，占比6.09%。值得注意的是，移動應用還存在将程序代碼等數據直接外發或通過第三方SDK向境外傳輸數據的行為，存在重大的安全風險。

　　數據跨境傳輸目的地TOP103.3應用存在數據跨境傳輸的功能類型分布結合相關移動應用的功能分類來看，涉及數據跨境傳輸的移動應用中，遊戲類應用占該類型檢測總量的5.84%，;育兒親子類應用占該類型檢測總量的3.05%，排名第二;系統工具類應用占該類型檢測總量的2.64%，排名第三。此外，拍攝美化類、影音播放類、健康運動類、生活實用類、社交通訊類和金融理财類等類型的移動互聯網應用涉及數據跨境傳輸的比例也較高，且這些應用與日常生活緊密聯系，尤其是遊戲、育兒親子和系統工具類，涉及到個人敏感信息較多，使用頻率也較高，風險較大。值得注意的是，遊戲類應用總數量較多，存在跨境傳輸的應用占比也較高，且多數遊戲需要實名制，綁定用戶的身份證等敏感信息，一旦境外服務器受到攻擊，極易造成用戶敏感信息洩露。

　　數據跨境傳輸移動應用的功能分類TOP10第四章 重點行業移動互聯網應用概況

　　随着移動互聯網終端的不斷創新與發展，移動互聯網應用與人們的生活息息相關，給人們生活帶來便利的同時也改變了人們的生活方式。本章主要介紹各重點類型的移動互聯網應用。4.1 人臉核身、熱更新風險防範

　　随着科技的發展，人臉識别技術在手機App上的應用已經非常普及了，已經被廣泛運用于刷臉支付、刷臉安檢、刷臉入住酒店等就像吃飯喝水一樣自然。截止到目前為止，大數據平台收錄“人臉識别”類的App有9566款，這些應用雖然一定程度上提升管理效率，提升交互體驗，然而此類應用的個人隐私安全也令人擔憂。在互聯網時代像人臉識别這種生物特征認證，一旦被采集轉換為計算機代碼存入數據庫就有可能存在風險。特征數據庫一旦受到攻擊，被犯罪分子獲取，極易造成用戶損失。普通密碼丢失時我們可以選擇更換密碼，人臉數據一旦洩露，我們也沒有第二張臉可以更換。另外，“人臉識别”産品中“活體檢測”的安全性能也值得重視，比如有些産品存在“未對采集環境進行安全檢查”或者“未對采集圖像進行合理校驗”等問題，導緻攻擊者可以輕易惡意劫持人臉圖像，讓服務器認定照片就是本人，由此來通過身份認證。此前已有類似的案例導緻用戶的數據安全、财産安全受到威脅。

　　同時值得關注的還有移動應用熱更新技術，它是開發者常用更新方式，常常用于一些緊急bug修複、功能模塊升級、重要數據同步等，這樣對于開發者來說，不僅提高了升級效率，降低升級時間成本，同時對于用戶體驗來說，也是非常友好和便捷。

　　但是由于熱更新技術，被一些黑灰産利用以後，帶來的卻是審核監管的難點。2017年時，蘋果審核團隊就要求開發者，移除所有熱更新相關代碼、框架或熱更新SDK，并重新提交審核，否則将下架該應用。

　　黑灰産是如何利用熱更新讓App大變臉的呢?他們會正常向應用商店提交一款功能非常正常的App，但是在代碼中加入了熱更新功能。一些小衆App分發平台審核人員在審核應用時，由于沒有相關法規要求或沒有相關檢測要求，甚至分發平台根本就沒有設置審核流程，這類App容易發布到互聯網上。用戶通過分發平台下載App并安裝後，開發人員會在一定時間内，在服務器發布App版本升級指令。App在用戶手機上運行時，一旦請求服務器并确認有的升級時，App則會悄悄地在後台下載升級代碼，并組裝代碼形成一個新的功能或者成為一個新的App。而新的App所有功能和代碼，都有可能和原App完全不一樣，黑灰産可以利用代碼的熱更新升級，肆意植入惡意代碼或者違法犯罪的功能等，逃避審核，直達用戶。

　　那麼如何防範熱更新給監管帶來的困難、用戶帶來的風險呢?首先應用商店應該建立嚴格的審核機制和熱更新規範，要求上架App禁止使用熱更新模塊，審核通過後方可上架分發。其次加大監管力度，對互聯網上分發傳播的App，檢測出有熱更新模塊，引導開發者用正确的升級方式，拒不整改的則立即要求下架。4.2“漫畫”類移動應用涉黃以及缺少未成年人保護的措施

　　近年來，“漫畫”類移動應用快速興起，從内容合規與風險防控的角度出發，我們針對某些活躍群體大多數是青少年的，具備發布漫畫與打賞作者功能的應用進行初步巡檢，随機抽查此類應用的内容，發現部分應用中存在發布同性戀、色情漫畫買賣、外鍊引流售賣色情漫畫等危害青少年的身心健康内容，應用平台未及時屏蔽敏感信息，運營主體需提高動漫色情低俗内容的研判能力，擴展安審團隊對于風險内容的研判邊界。

　　“漫畫”類應用存在涉黃以及未缺少未成年人保護的措施第五章 移動互聯網應用漏洞概況

　　大多數移動應用安全事件是由相同的漏洞、不安全的編碼實踐，以及缺乏足夠的安全測試造成的。本章主要介紹移動應用近幾個月來存在的高危漏洞風險變化、漏洞類型、漏洞應用功能分類等情況。5.1應用存在高危風險漏洞變化情況

　　2022年上半年，對2558713款應用進行107項漏洞掃描發現，74.79%以上的移動互聯網應用存在高危漏洞風險。這與檢測技術的提升存在一定的關聯性。下圖為2022年1-6月的高危漏洞詳情。

　　2022年1-6月檢測出存在高危漏洞的應用占比變化5.2移動應用高危漏洞類型情況移動互聯網應用漏洞類型主要有Janus漏洞、截屏攻擊風險和未移除有風險的WebView系統隐藏接口漏洞等，占比分别為56.04%、51.41%和47.95%。此外，Java代碼加殼風險和日志數據洩露風險也值得關注，占比分别為47.69%和47.59%。

　　移動應用漏洞類型TOP105.3各功能類型應用存在高危漏洞風險的情況從功能類型來看，主題壁紙類存在高危漏洞風險的應用數量占該類型應用檢測總量的99.34%，位居第一;其次是金融理财類，占該類型應用檢測總量的97.31%;第三是輔助軟件類，占該類型應用檢測總量的94.97%。存在高危漏洞最多的應用如果受到攻擊容易導緻用戶的隐私洩露或直接财産損失，監管機構應加強對相關應用的監管。同時應用開發者應采取有效措施如通過使用應用加固，防範應對網絡攻擊，保障系統安全平穩運行。

　　存在高危漏洞風險應用的功能分類排行TOP105.4存在高危漏洞風險的移動應用區域分布情況從存在高危漏洞風險應用在各區域的實際占比情況來看，重慶市存在高危漏洞風險的應用數量占該區域應用檢測總量的97.84%，位居第一;其次是雲南省，占該區域應用檢測總量的96.16%;第三是内蒙古自治區，占該區域應用檢測總量的86.83%。

　　存在漏洞風險移動應用在各省的占比TOP10第六章 移動互聯網惡意應用概況

　　惡意軟件是當前互聯網上的安全威脅之一，是一種惡意侵入性軟件程序，包括但不限于病毒、蠕蟲、間諜軟件、廣告軟件、詐騙和網絡釣魚、勒索軟件、機器人、特洛伊木馬、Rootkit和鍵盤記錄器等。網絡犯罪分子發送惡意軟件進行網絡攻擊，導緻勒索軟件攻擊量激增，給公衆的個人信息安全和财産安全帶來了重要威脅。本章主要介紹移動應用近幾個月來存在的高危漏洞風險變化、漏洞類型、漏洞應用功能分類等情況。6.1惡意程序的類型分布

　　檢測發現，2022年上半年含有惡意程序的應用從類型分布來看，惡意程序類型以“流氓行為”為主，占比87.05%。

　　主要惡意程序類型排名6.2惡意程序的分發渠道分布惡意程序分發渠道的是“嗨客手機站”，占惡意程序總量的43.03%;排名第二是“魅卓網”，占比6.97%;排名第三的是“新雲網絡”，占比5.78%。下圖為惡意應用分發渠道TOP10：

　　惡意應用分發渠道TOP106.3惡意程序的功能分類分布從惡意應用在各功能分類中的分布情況來看，遊戲類存在惡意應用的數量占惡意應用總量的60.96%，位居第一;影音播放類占比4.98%，位居第二;生活實用類占比4.38%，位居第三。

　　惡意應用的功能分類TOP10第七章 移動互聯網應用嵌入SDK概況

　　SDK廣泛應用于移動應用設計開發階段。為提高開發效率、降低成本，移動應用開發商往往将某項功能交給第三方來開發,第三方将服務封裝為工具包(即SDK)供開發者使用。SDK本身可能存在安全漏洞、隐瞞收集個人信息等安全風險。本章主要介紹2022年移動互聯網應用嵌入SDK的情況。7.1移動應用集成SDK的平均數量

　　移動互聯網應用平均集成6.49個SDK，網上購物類、社交通訊類、旅遊出行類平均集成SDK數量名列前三，分别為10.25個、9.91個和8.70個。不僅如此，辦公學習、生活實用、健康運動、金融理财、遊戲應用、育兒親子和影音播放類平均集成SDK的量也較高，均在5個以上。第三方的SDK開發側重于功能性的完善，在安全性方面的投入較少，可能存在一些安全問題，需提高對平均嵌入SDK較多的各類App的重視。

　　各應用功能類型平均集成SDK數量TOP107.2移動應用嵌入SDK的類型分布從移動應用嵌入第三方SDK類型來看，最常見、使用最多的SDK類型包括工具類、框架類、推送類、依賴庫類和支付類。其中，嵌入了工具類SDK的App數量最多，占比35.55%，遙遙;其次是框架類SDK，占比為9.51%;排名第三的是推送類SDK，占比為8.35%。工具類SDK作為使用最廣泛的SDK類型，App開發者在使用該類型SDK實現功能的同時也要注意嵌入SDK後帶來的安全風險。

　　SDK類型分布TOP107.3嵌入SDK的移動應用功能分類分布從嵌入了第三方SDK的移動應用功能分類來看，的是遊戲類，占比25.72%;其次是生活實用類，占比14.32%;排名第三的是金融理财類，占比9.13%。公衆在使用各類移動互聯網應用時，關注SDK方面的風險，不僅需要了解各類型應用的SDK嵌入占比情況，還需要了解每個應用嵌入SDK的數量，仔細閱讀應用的隐私政策，注意保護自身的個人信息安全。

　　嵌入SDK的移動應用功能分類TOP10第八章 移動互聯網應用技術安全保護措施概況

　　随着移動端黑産的日益壯大，為了防止被破解、二次打包、惡意篡改等安全問題，移動互聯網應用需要通過技術安全保護措施維護應用安全。本章主要介紹未采取技術安全保護措施的應用概況。8.1未采取技術安全保護措施的移動應用占比情況

　　2022年上半年，統計分析未采取技術安全保護措施的應用(即未加固應用)的情況發現，已采取技術安全保護措施的應用總計342220款，占9.89%;未采取技術安全保護措施的應用總計3117180款，占比90.11%，與2020年的安全系數基本持平，顯示2022年移動互聯網應用在技術安全保護措施方面的改善較小。應用如果不采取技術安全保護措施則無法确保應用安全，無法防止被破解、二次打包、惡意篡改等問題，安全風險更大。

　　未采取技術安全保護措施的應用占比8.2未采取技術安全保護措施的移動應用功能類型分布通過對未采取技術安全保護措施的應用功能類型進行統計發現，主題壁紙類應用未采取技術安全保護措施的數量占該類型應用總量的89.10%，;其次是拍攝美化類應用，占該類型總量的79.99%;排名第三的是資訊閱讀類應用，占該類型總量的70.68%。應用若不采取技術安全保護措施，應用極易被病毒植入、廣告替換、支付渠道篡改、釣魚、信息劫持等，會嚴重侵害開發者的利益或威脅到用戶的信息安全。建議未采取技術安全保護措施的應用開發者或運營者應找尋求内外部的專業力量，對應用進行安全加固防護。

　　未采取技術安全保護措施移動互聯網應用的功能類型分布TOP10第九章 移動互聯網應用安全監管概況

　　随着移動互聯網應用網絡安全監管政策的逐步加強，數據安全和個人信息安全保護已成為重中之重。監管部門開始加大對違規數據跨境、違規或超範圍采集和使用個人信息、洩露或售賣用戶數據、侵害用戶隐私權益等違法違規行為的打擊力度，進一步構建清朗的網絡安全空間。本章主要介紹2022年移動互聯網應用安全監管及安全态勢情況。9.1通報違規收集個人信息的移動應用渠道監測情況

　　2022年上半年，通過跟蹤監管部門通報的780款移動應用相關版本的有效下載渠道，發現截至6月仍有422款通報版本的應用在部分渠道可以下載。從渠道分布來看，閃電下載仍有94款被通報應用可以下載，占可下載通報應用總量的22.27%，;其次是樂商店，仍有92款被通報應用可以下載，占總量的21.80%;排名第三的是搜狗應用，均仍有65款被通報應用可以下載，占總量的15.40%。

　　通報下架應用的有效渠道分布TOP109.2被通報的移動應用功能類型分布分析監管部門通報的移動互聯網應用在各功能分類中的分布發現，生活實用類應用數量占通報應用總量的10.90%，位居第一;辦公學習類占比8.46%，位居第二;網上購物類占比3.97%，位居第三。

　　監管機構通報應用的功能分類TOP10第十章 移動互聯網應用個人信息安全保護建議

　　随着移動互聯網的快速發展，人們的生活節奏越來越快，移動應用信息分享更加方便，因此深受用戶喜愛。但部分應用所存在的安全漏洞、違規收集個人信息、内容違規等給用戶帶來了諸多困擾。守護個人信息安全不僅僅關乎人民群衆的幸福感、獲得感、安全感，更是與國家安全、社會安全各個層面等都息息相關。10.1保護個人信息安全需要各相關主體應履行各自的角色職責

　　近年來，App強制授權、過度索權、超範圍收集個人信息的現象随着監管機構的大量懲處，違法違規使用個人信息的問題得到了一定程度的改善，但個人信息安全問題仍然嚴峻。對個體而言，個人信息流失輕則導緻日常生活被頻繁打擾，重則給犯罪分子實施詐騙、勒索等犯罪活動提供了便利條件。對于應用開發者運營者而言，需要保證數據處理活動的合法合規。數據的收集，不管是通過用戶主動提供還是自動采集方式收集數據的，應就收集的目的、方式和範圍取得用戶的有效授權，在隐私政策中準确寫明。并且數據采集手段、方式恰當、滿足“收所必需、用所最小”的基本準則。各地監管部門要加強應用備案系統的建設并督促應用商店落實主體責任，加強應用上架審核，促進移動互聯網健康有序發展。10.2 建立信息内容發布的審核機制

　　部分應用可能内容審核不嚴，充斥着大量軟色情、暴力、封建迷信等内容。監管機構需要加強對違規應用的監管力度，運營企業也需要加強内容審核，确保内容的安全健康、合規合法。愛加密移動應用大數據中心總監謝仰建議，App運營企業首先要對注冊用戶的基本信息進審核，包括頭像、昵稱、個人介紹的内容，實行“後台實名、前台自願”原則。其次在用戶發表的評論審核方面，根據網信辦發布的關于《互聯網跟帖評論服務管理規定(修訂草案征求意見稿)》意見稿中提到，平台運營者應當嚴格落實要建立信息内容發布的審核機制，對評論信息内容必須落實先審後發，及時發現處置違法和不良信息，并向網信部門報告，同時向用戶提出警告或封停賬号等措施。此外，平台需對自身發布或轉載的内容進行嚴格審核，層層把關，做到發布的内容不産生歧義、不違法違規、特别是沒有意識形體上的偏差。最後，平台要建立信息内容的巡檢機制，定期對平台發布、用戶發表的内容進行巡查，避免出現以前合規、現在違規的内容傳播。希望在各方力量的共同努力下，我國的網絡空間會變得更加清朗。