內建軟體強奪個資 企業良心怎有保障？

（2014年10月23日，台北訊）小米事件尚未完全落幕，國產品牌ASUS卻又傳出更新Android版本並在未經使用者同意下直接加裝內建大陸軟體，由於該軟體要求過多手機權限，系統一旦更新後，完全不需經由使用者同意與否，所有的權限馬上就交出去了，隨即引起使用者不滿與討論，更加深民眾對於更新系統的遲疑與不信任感。芬安全(F-Secure)大中華區總代理商翔偉資安科技營運長杜世鵬強調，用戶下載App無論軟體所要求的授權合理與否，起碼都給予使用者選擇的機會，但手機內建軟體卻隨著系統更新強制安裝，讓使用者連說「NO」的權利都沒有，更突顯民眾在使用3C產品時，對於守護個人隱私的無能為力，倘若僅仰賴企業良心，宣導不要外洩用戶個資，恐怕又是一個無解問題。

杜世鵬表示不管是電腦或是行動裝置的系統更新，對於資安維護來說都是重要且必要的，系統更新除了新增功能外，最重要的是可以修正舊版本的缺失與漏洞以圍堵駭客入侵。各手機廠商在進行系統更新時，或多或少會夾帶內建軟體，但這些內建軟體是否有要求過多權限等問題，也需由廠商自行進行把關。以這次ASUS開放更新 ZenFone至 Android 4.4的例子來說，版本更新是希望提供用戶更好的使用經驗，卻在系統更新時，同步內建軟體「觸寶號碼助手」，手機廠商希望透過版本更新強化手機功能，並藉由此APP協助進行來電辨識、攔截詐騙或是騷擾電話等，雖然立意良善，但該軟體幾乎要求所有手機權限，等同給該軟體公司全面監控用戶的權力，而且連選擇的機會都沒有給用戶，在更新進行時直接安裝。由此單一事件牽扯到個資法來看，若專業經理人在洽談異業合作案時，未具備完善相關法律知識，恐因疏失導致企業負責人連帶受罰，企業經營者該如何避免員工因一時不察觸及法律，是現階段企業面臨個資法上路的一大考驗。台灣個資法專家林鴻文律師也提醒企業應善盡告知義務，在未取得個人同意之下而安裝內建軟體，任由軟體廠商取得使用者手機權限，恐有觸犯我國刑法妨害秘密罪、妨害電腦使用罪等及個人資料保護法之虞，若再因保管不當造成資料外洩，負責人或管理者可能會遭受鉅額民事損害追償及行政罰鍰。

杜世鵬提醒，類似事件層出不窮，這只是再次突顯企業對於守護用戶資訊的敏感度與謹慎仍顯不足，以此事件來看，企業在前端談合作方案時並沒有全方位思考消費者權利，導致APP開發商可輕易透過更新系統奪取用戶權益，甚至因為網路、APP無國界的特性，讓這些可以偷渡用戶資訊的軟體游走在國家法律邊緣逃脫政府的管控範圍。企業為了增加購買意願，透過內建許多便利軟體來吸引消費者目光，但這些APP收集到的資料用途為何卻沒交代清楚，也沒有向用戶報告如何管理並避免個資外洩，難保企業以「研究」為名將用戶資訊挪為其他用途，甚至給其他單位使用。守護個人隱私實際上難靠抽象的企業良心，政府雖因為小米事件開始檢測手機廠商後台資料運用，遇到相關事件才一個個去檢視，這都是只治標不治本的被動作法，行動裝置所衍生的個資管理、權限授權等問題應仰賴國家直接立法規範，才能從根本解決問題，避免外來軟體鑽更新漏洞，竊取民眾個資。

F-Secure(芬安全) – 重視並守護您無價的重要資產

F-Secure(芬安全)是全球電腦與行動裝置雲端安全領導品牌，無論您是使用電腦或智慧型手機，我們能確保您最重視的資料受到完整的安全保護。F-Secure於全球各地與超過200家電信業者合作提供服務，並擁有數億家庭與企業用戶的信任。F-Secure自1988年成立，總部設於芬蘭赫爾辛基市（Helsinki），已於1999年在NASDAQ OMX赫爾辛基證券交易所上市。歡迎造訪F-Secure網頁：http://www.f-secure.com

關於翔偉資安科技 sunwai InfoSec Technologies, Ltd.

翔偉資安科技為芬蘭國際級防毒領導品牌F-Secure芬安全大中華區總代理，提供端點系統安全進階技術服務與顧問輔導。藉由長期培育的專業工程團隊及客服支援中心，已連年贏得廣大企業客戶、政府機關與學校的肯定，翔偉資安科技代理之F-Secure產品目前已第五年獲得台灣銀行（中信局）共同供應契約合作。翔偉資安科技是台灣最廣連鎖紙張供應商賢記紙業集團之關係企業。歡迎造訪翔偉資安科技網頁：http://www.sunwai.com

【杜世鵬資安專欄】一支美肌app，為什麼要求你提供手機IMEI碼、聯絡人以及撥打電話的權限？

對於使用Android手機的人來說，我不知道大家在Google Play上安裝 app時，有沒有注意這些app所要求的權限？

APP要求權限太多

每次當你在Google Play上，點選「安裝」時，Android系統其實會提醒你該支app要求了哪些權限，有的app會要求讀取你的通訊錄，以及寫入你的通訊錄、有的app會讀取你的簡訊，以及利用你的手機來發簡訊…..尤其像是QQ、LINE、WeChat…等等的即時通訊軟體，要求的權限簡直包山包海，把你所有的個資都要走了。但是很多人在安裝app時可能還是連看都沒看，就直接按「確定」，把自己所有的個資授權這些app使用。

很多的小額付款詐騙就是使用了這樣的權限，在你點選某個連結時，先安裝一支要求權限極高的app躲在背景運行，讀取你簡訊的認證碼，再用你的手機回傳認證碼，同時刪除簡訊。你要直到下個月帳單來了，才會發現自己被小額付款詐騙了。

免錢的最貴，風險也最高

根據芬安全病毒威脅實驗室上半年的統計，台灣手機病毒感染可以分為兩大區塊，其中有51%，是使用者所安裝的app本身就有問題，這很可能是使用者從其他第三方軟體商店平台下載來路不明的app安裝所造成的。有些很有名的程式，像是Candy Crush、Angry Birds都曾被駭客將木馬、病毒植入在原本的程式中再重新包裝，偽裝成正常的app讓使用者免費下載。於是這又回到我們之前談過的，「你是要花錢買商品，還是把自己當成商品賣掉」。

除了那51%有問題的app外，還有41.9%的app會蒐集過多本來不必要提供的使用者資訊，像是美肌軟體，卻要求使用者提供手機IMEI碼、聯絡人以及撥打電話等權限；又或者明明是音樂撥放軟體，卻要讀取/寫入簡訊、通訊錄等權限，雖然不代表這支app本身有問題，但是自己的個資隨隨便便就讓任何一支app拿走，這可是個人資安的大風險。

寧願手動更新也不要自動更新

另外，Android在「自動更新」的設計上，也幫這些app開了一個很大的方便門，如果你選擇讓這些app自動更新，那麼當它在新的版本中，要求其他權限，Android不會再另外告訴你，而是「自動更新」了。因此建議讀者們，不要勾選「自動更新」，寧願麻煩一點，自己每次手動更新，還可以知道權限的變更。

同時以Android系統現在的設計，沒有辦法好好的保護手機記憶卡裡的資料，一旦手機遺失，記憶卡只要被拔出來，裡頭的照片和其他資料很容易就可以讀取，這也是風險很高的事情。現在的手機都可以遠端抹除手機裡的資料，因此如果你發現自己的手機遺失，建議你先遠端把資料刪除，遺失硬體事小，手機裡的資料被拿去做別的應用才事大。

養成良好的觀念和使用習慣

也許有人會問「有沒有可以保護自己的安全的方法呢？」其實沒有完全安全的方法，只能注意再注意，小心再小心，在這提供所有的使用者 Android手機自保6大招：

1.「不」在官方平台以外的商店下載app：避免到其他第三方軟體平台下載app。

2.「不」開啟手機內「允許安裝來源不明的應用程式」選項：不要安裝來路不明的應用程式。

3.「要」確認開發商身分：下載前確認開發商身分，避免下載到駭客重新包裝的應用程式。

4.「要」查看app評價：熱心的網民們會到平台上針對該應用程式給予評論，有時候可以藉由此評論知道此app使用狀況。

5.「要」確認此app所需權限是否超出需求：瞭解自己正在使用的app都要求了哪些權限。

6.「要」安裝行動安全軟體保障使用安全：雖然日前Android 安全首席工程師Adrian Ludwig說：「真正的安全，不是叫使用者去安裝一些防毒軟體，而是所有資料都要透明化，甚至感覺不到 Google 已經在篩選惡意攻擊或是攻擊等內容。」但畢竟這是未來長遠的目標，有安全軟體幫忙，對於一般的使用者來說，也多一點保障。

iPhone露餡 小米洩資？ 智慧型手機未做好資安防護 個資才會全都露

（2014年7月30日，台北訊）有不少以拿iPhone自傲的蘋果迷們近日可能覺得不太愉快，蘋果已間接證實系統的確可以在不被用戶察覺的情況下收集個資，雖然強調此功能是用來收集巨量數據(Big Data)，不會提供給政府情報單位，但相關新聞一公布卻讓很多重視隱私的果迷們陷入憤怒與被背叛的情緒之中。事實上，行動上網裝置可以掌握用戶資料在業界幾乎不是什麼新鮮事，但與其擔心服務商外洩資料，用戶自己沒有做好資安管理其實才是個資全都露的主要原因。

        芬安全(F-Secure)大中華區總代理商翔偉資安科技營運長杜世鵬說明，日前知名的iOS越獄駭客札德斯瓦斯基（Jonathan Zdziarski）披露蘋果透過作業系統可在不被用戶察覺的狀況下獲取電話、簡訊、地理位置等多達44種用戶資訊。而從去年爆發監聽事件後，包括美國總統歐巴馬、德國總理梅克爾也都因為安全因素，不只禁用iPhone，手機也安裝特殊的密碼晶片避免國情機密被他國竊取。另一方面，隨著小米、華為等陸製行動裝置產品進軍台灣市場，雖然掀起一陣風潮，同時也有不少民眾可能擔心使用陸製產品是否會有資安上的疑慮。但事實上個資外洩最嚴重的問題在於使用者安裝APP時忽視安裝前的權限說明，直接同意授權。在此要呼籲所有的使用者，當應用程式要求的授權超出所需，在你按下同意授權時就等同於應用程式開發商可以合法但不合理的蒐集個資，又加上APP開發商可能為個人工作室，對於用戶資訊可能不會妥善保存而造成個人隱私外洩。

        杜世鵬強調，並不是只有公司才需要做「資安管理」，當民眾多機在手，只要跨平台上網、工作時，都可能增加感染的機會，因為只要連上網路、接上雲端在享受科技便利的同時，其實也是把自己暴露在受駭風險之中，為了要確保個資沒有外洩疑慮，除了建議所有的上網設備都應該被納入資安管理的範疇之內，也應提高對於自我資訊保護的敏感度，例如：不隨意使用公眾Wi-Fi上網、不輕易授權APP權限，才能將個資外洩機率降到最低。

F-Secure – 重視並守護您無價的重要資產

F-Secure芬安全是全球電腦與行動裝置雲端安全領導品牌，無論您是使用電腦或智慧型手機，我們能確保您最重視的資料受到完整的安全保護。F-Secure於全球各地與超過200家電信業者合作提供服務，並擁有數億家庭與企業用戶的信任。F-Secure自1988年成立，總部設於芬蘭赫爾辛基市（Helsinki），已於1999年在NASDAQ OMX赫爾辛基證券交易所上市。歡迎造訪F-Secure網頁：http://www.f-secure.com

關於翔偉資安科技 sunwai InfoSec Technologies, Ltd.

翔偉資安科技為芬蘭國際級防毒領導品牌F-Secure芬安全大中華區總代理，提供端點系統安全進階技術服務與顧問輔導。藉由長期培育的專業工程團隊及客服支援中心，已連年贏得廣大企業客戶、政府機關與學校的肯定，翔偉資安科技代理之F-Secure產品目前已第五年獲得台灣銀行（中信局）共同供應契約合作。翔偉資安科技是台灣最廣連鎖紙張供應商賢記紙業集團之關係企業。歡迎造訪翔偉資安科技網頁：http://www.sunwai.com