【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

索赔450万元！富德产险遭原总经理起诉 此前高层罕见集体被免职******

　　中新经纬2月3日电 (李自曼 魏薇) 1月30日，富德财产保险股份有限公司(下称：富德产险)发布了2022年第4季度偿付能力报告。据报告显示，在未决的重大诉讼中，有一起诉讼方为罗桂友的劳动人事争议，诉讼标的金额、估计损失金额均为450.25万元。

　　罗桂友曾任富德产险总经理。2022年6月，富德产险发布公告称，免去龚志洁富德产险董事、董事长职务，免去罗桂友富德产险董事、总经理的职务。彼时，将帅同时被免的消息震动业内。

　　对于上述劳动人事争议、公司将帅同时被免的具体原因以及其他业务经营方面的问题，中新经纬联系富德产险。富德产险表示，由于公司目前一些安排暂未确定，暂时无法接受采访。

　　450万或系2倍赔偿

　　董事长、总经理、总精算师皆空缺

　　2022年6月21日，富德产险连发3则重大事项临时信息披露，决定免去龚志洁董事、 董事长职务，免去罗桂友董事、总经理职务。

　　将帅同期被免职的情况在保险行业并不多见。公开资料显示，罗桂友自2015年6月担任富德产险董事、总经理，在富德产险任职已有7年。

　　据富德产险2022年第4季度偿付能力报告显示，在未决的重大诉讼一项中，有一起诉讼方为罗桂友的劳动人事争议，诉讼标的金额、估计损失金额均为450.25万元。

　　450多万的赔偿金如何得来？是否合理？

　　北京升才律师事务所律师闫晓玲对中新经纬表示，根据《劳动合同法》相关规定，劳动者出现严重违反用人单位的规章制度，严重失职，营私舞弊，给用人单位造成重大损害等情形，单位可以单方辞退劳动者并且不支付经济补偿金。除第三十九条之外的情形，除非是劳动者自愿申请离职，单位无论是与劳动者协商一致解除劳动合同，还是提前30日通知或额外支付劳动者一个月工资后解除劳动合同，都要向劳动者支付经济补偿金。

　　闫晓玲表示，如果单位没有按照上述事实或程序解除劳动合同，属于违法解除劳动合同，要向劳动者支付2倍经济补偿金的赔偿金。本案中被辞退员工属于高管，若在公司任职7年，薪资比较高的话，计算补偿金或赔偿金及其他损失，金额计算虽达450万，但能否得到支持则需要经过庭审举证、质证看劳动者、单位是否存在上述过失的法定情形，以及损失证据是否充分，具体结果有待裁决。

　　有业内消息称，2022年6月，富德产险实际免职了三位高管，除了龚志洁和罗桂友，富德产险原副总经理、精算负责人朱君平也在被免职之列。三位高管被免职的背后原因或系踩雷信用保险业务。

　　根据相关资料显示，富德产险在2018年7月至2020年5月，开展银河国际融资性保证险业务时存在未严格执行经批准或备案的保险条款和费率情况，涉及保费金额1573.73万元，朱君平是对上述违法行为直接负责的主管人员。

　　对于上述情况，中新经纬向富德产险核实。富德产险表示，由于公司目前一些安排暂未确定，暂时无法接受采访。

　　在多名高管被免职后，富德产险于2022年6月召开股东大会，并明确了公司临时负责人为李春彦。不过根据富德产险2022年第4季度偿付能力报告，李春彦已不在其披露的高管信息之列，公司董事长、总经理、总精算师皆为空缺状态，董事、监事一栏各三人。

　　连年亏损，信保业务遗患待解

　　人事变动的背后，富德产险经营业绩并不乐观。

　　根据富德产险2022年第4季度偿付能力报告显示，2022年4个季度，富德产险累计实现保险业收入11.03亿元，同比下降56.12%；净利润亏损约2亿元，较去年同期亏损扩大约1.76亿元；核心偿付能力充足率为359.86%，综合偿付能力充足率为366.12%；本年度综合成本率达到131.43%。

　　公开资料显示，富德产险成立于2012年5月，注册资本为35亿元。从业绩表现来看，该公司长时间处于亏损状态，成立以来仅2015年、2017年实现净利润为正，其余年份皆为亏损状态。近五年，2018年至2022年，富德产险累计亏损约12.56亿元。

　　从业务发展看，2015年，富德产险着力发展信用保证保险，使得这一险种迅速跻身该公司第二大险种。此后，该公司保费规模在一段时间内出现持续增长。随着信用保证保险风险暴露，富德产险业绩开始下滑。

　　2019年，富德产险保证保险保费收入规模缩减至0.56亿元，退居为该公司第四大险种，承保亏损6.39亿元，成为富德产险亏损最严重的险种并招致一系列投诉。2019年也成为目前富德产险亏损最为严重的年份，净利润为-6.68亿元。

　　天眼查平台显示，截至2月3日发稿前，富德产险保证保险的合同纠纷案件多达2418件，成为该公司被投诉最多的险种。

　　截至目前，富德产险多款保证险已被停售，但其历史遗留问题仍待解决。

　　富德产险在其2022年第4季度偿付能力报告中提到公司现阶段可能面临的风险时指出，保险风险方面，主要是存量信保业务和延保业务的保险责任。

　　(文中观点仅供参考，不构成投资建议，投资有风险，入市需谨慎。)