「網紅」應用子彈簡訊陷入隱私爭議 它犯了很多應用都會犯的錯誤
近日，上線才一周的子彈簡訊可謂風頭無兩，不僅迅速登頂蘋果App Store免費榜和社交榜，還剛剛獲得了1.5億A輪融資。不過，有媒體曝出，子彈簡訊存在重大的安全隱患，不法分子可以輕易從網頁源代碼獲得用戶姓名、手機號、社交媒體賬號等個人信息。還有網友反映，註冊子彈簡訊賬號之後無法註銷。
南都記者親測發現，雖然網頁源代碼的問題已經被修復，但子彈簡訊依然存在未獲授權收集個人信息、未經用戶明示同意調用簡訊、無法註銷等問題。南都個人信息保護研究中心認為，一款新的產品能迅速躥紅，證明了它本身的價值與魅力，而子彈簡訊的隱私爭議，源於現今國內軟體產品的普遍弊病——佔領市場為先，安全隱私稍後再談。
***
子彈簡訊此前被曝隱私泄露問題
8月20日，子彈簡訊在鎚子科技新品發布會上首次亮相，並在短短几天內迅速爆紅。數據顯示，子彈簡訊僅用了三天就躥升至蘋果App Store總榜單第一名，目前（29日）仍在免費榜中排名第一。
但就在8月21日，有網友發現，當用戶第一次使用子彈簡訊向手機通訊錄中的好友發送信息時，子彈簡訊會幫該用戶生成一個個人頁面，任何人都可以通過這個頁面的源代碼查看該用戶的個人信息，包括該用戶的ID、昵稱、手機號及微博、微信、QQ等賬號信息。
此外，網友指出，子彈簡訊使用「自增 ID」，也存在隱私漏洞。所謂「自增ID」，簡單來說，就是用戶ID 按註冊順序排列（第一個註冊者ID 是1，第二個註冊者 ID 是2，依次類推）。網友認為，攻擊者可能通過前述網頁源代碼依次輸入用戶ID，從而大批量查詢、導出用戶個人信息。
接到網友反饋後，子彈簡訊官方關閉了前述頁面。
8月23日，子彈簡訊官方微博回應稱，已經對「自增ID」進行了緊急修復，且之前的介面設置有限頻功能，第三方不能夠將用戶信息批量導出。子彈簡訊團隊對用戶隱私非常重視，一定更加嚴謹地保障用戶的信息安全。
29日晚，子彈簡訊發布聲明，再次解釋網頁源代碼和添加陌生人可看到手機號等隱私問題均已被修復。
***
不少隱私合規問題依然存在
然而，南都記者注意到，子彈簡訊依然存在不少隱私合規問題。
1、未經用戶授權收集手機號碼
南都記者親測發現，不同於一般APP註冊前須勾選同意用戶協議，子彈簡訊的註冊頁面只需輸入手機號和驗證碼，沒有任何說明如何收集、使用用戶信息的用戶協議或隱私政策。
左為註冊頁面，右為設置頁面。
只有完成註冊以後，才能在「設置」里看到《子彈簡訊隱私協議》和《子彈簡訊服務條款》。這意味著，子彈簡訊可能在未經用戶授權的情況下就已經收集了用戶的手機號碼。
根據《子彈簡訊隱私協議》，快如科技收集的個人信息包括姓名、電話號碼、身份證、面部特徵、指紋信息、位置信息等。
收集了這麼多個人信息甚至個人敏感信息，子彈簡訊對於信息安全的承諾卻並不令人放心。
《子彈簡訊隱私協議》稱，快如科技將盡合理的努力保障您的信息安全，但是您應當知道快如科技不能完全避免與個人信息安全相關的風險（特別是發生快如科技無法控制的情況時，如不可抗力或第三方原因），因此，快如科技對隱私信息的維護或保密無法做出任何確定性的保證或承諾。
2、未經用戶明示同意調用簡訊
子彈簡訊官微置頂的微博列出的添加好友方法中提到，「你也可以給還沒有註冊子彈簡訊的好友直接『發送消息』，對方會從本機簡訊通道直接收到你的信息」。
南都記者發現，當子彈簡訊用戶向沒有註冊的用戶發送消息時，會直接替用戶編輯好簡訊內容並跳轉到簡訊頁面，以用戶自己的手機號向對方發出「邀請你開通子彈簡訊」的信息，同時手機號碼也會直接被顯示在收到的簡訊里。
左為簡訊發送方，右為簡訊接收方。
3、無法註銷
上海的黃先生向南都記者反映，他註冊子彈簡訊後想要註銷，卻發現無從下手，「APP里連一個客服電話都沒有」。然而，在《子彈簡訊隱私協議》里卻明明白白地寫著：「在您主動註銷賬號時，快如科技會根據使用法律法規的要求儘快使其匿名或刪除您的個人信息。」
對此，子彈簡訊在微博回應稱，目前賬號註銷功能正在開發測試中，待穩定運行後，會儘快上線。
***
子彈簡訊無法註銷或涉嫌違約
今年5月實施的國家標準《信息安全技術 個人信息安全規範》規定，收集個人信息前，應向個人信息主體明確告知所提供產品或服務的不同業務功能分別收集的個人信息類型，以及收集、使用個人信息的規則，並獲得個人信息主體的授權同意。在收集個人敏感信息時，還應取得個人信息主體的明示同意，並確保個人信息主體的明示同意是其在完全知情的基礎上自願給出的、具體的、清晰明確的願望表示。
「隱私政策肯定是要在用戶註冊之前呈現的」，中國信息安全研究院副院長左曉棟指出。從註冊流程一開始，用戶輸入手機號時，就不能排除子彈簡訊就已經在用戶不知情的情況下收集個人信息，這違反了上述國家標準的要求。即便在註冊後再讓用戶閱讀隱私政策及相關協議，實際意義也不大。
他認為，子彈簡訊調用簡訊許可權的行為作為一種業務模式，本身無可厚非，但應該事先採用彈窗等增強型告知形式通知用戶，並詳細說明調用目的，在經過用戶明示同意之後，才能使用該許可權。
此外，雖然發送簡訊的動作是用戶自主做出的，但在一連串的操作下，用戶可能沒有足夠的思考時間就發出了簡訊，並不完全出於自願。在這種情形下，雖然子彈簡訊規避了自身風險，但難免有轉嫁責任之嫌。
針對子彈簡訊的免責條款，左曉棟表示，一方面鎚子科技在個人信息保護領域還算「生手」，不像BAT已經形成了專業的隱私合規團隊，子彈簡訊的開發人員可能缺乏個人信息保護方面的認識，使得隱私政策的措辭過於隨意；另一方面子彈簡訊在隱私合規上的確不盡人意，關注度又高，更容易被網友吐槽。
「《子彈條款隱私協議》本質上可視為企業與用戶簽訂的合同，既然對註銷功能做出了承諾，就要保障用戶的權利」，他提到，子彈簡訊沒有按照條款保證去做肯定屬於違約行為。「事實上，目前無法註銷的情況大範圍存在且無人監管，這已經成了互聯網企業的常態。」
南都個人信息保護研究中心認為，一款新的產品能迅速躥紅，證明了它本身的價值與魅力，但子彈簡訊在躥紅的同時受到的隱私爭議，源於現今國內軟體產品的普遍弊病——佔領市場為先，安全隱私稍後再談。國際知名安全技術專家Bruce Schneier近日就表示，現如今，計算機領域很多安全問題都是歷史遺留問題。計算機在設計之初並沒有考慮安全概念，一些不安全的協議流傳至今仍在使用，這也導致計算機世界的不安全。
因此，在設計之初或在制定政策與戰略時，就讓安全技術人員參與其中是有效避免出現隱私爭議的重要方式。在這個鼓勵互聯網不斷創新的時代，將安全與用戶隱私在設計伊始就擺在足夠高度的初創者，才能夠在這場市場競爭的長跑中一路領跑。
采寫：南都記者蔣琳 馮群星 實習生尤一煒
