零壹金融APP评测：小米金融

来源：阅读：-2020-04-15 21:16:57

近年来，由于个人信息的泄露，连续引发“校园贷”、“套路贷”、“杀猪盘”等社会事件，对金融环境造成恶劣影响。其中，APP是个人信息泄露的重灾区，一些公司利用APP违法违规收集个人信息。例如，“暴风金融”、“51人品贷”和“融360”3款金融APP曾因涉嫌违法违规收集使用个人信息，被工信部点名。

为遏制这些违法乱纪行为，营造安全健康的金融环境，中国人民银行在2019年发布了《中国人民银行关于发布金融行业标准加强移动金融客户端应用软件安全管理的通知》，针对APP个人信息安全、帐户安全、密码安全、数据安全、隐私政策等方面进行规范，并要求金融机构按照该标准对各自的金融APP进行整改。

为鼓励金融机构、金融科技公司、互联网金融公司积极主动参与APP整改，规范个人信息收集、使用等行为，零壹智库整理了3大类、37个评测标准，通过下载、注册、使用等环节，对各公司的金融APP进行评测。

出品 | 零壹智库

作者 | 零壹智库

此次零壹财经对“小米金融”APP进行了评测。根据评测结果，在46个评测标准中，小米金融APP有30项符合标准，有16项不符合。

一、零壹金融APP判断流程及标准

1. 评测流程：该评测主要分为3个阶段

使用前：首先判断隐私政策是否满足要求。是否公开收集使用个人信息规则；是否明示收集使用个人信息的目的、方式和范围；是否未经用户同意收集使用个人信息；是否提供删除或更正个人信息功能；是否公布投诉、举报方式等信息。

注册时：判断密码是否存在安全漏洞。例如，登陆密码和交易密码是否独立；密码是否明文显示；是否具有密码即时防护功能；是否具有密码复杂度校验功能等。

使用时：判断个人信息是否存在泄露风险。例如，个人信息是否明文展示；是否具有即时防护功能等。

2. 评测标准：该评测报告除了依据央行发布的《移动金融客户端营业软件安全管理规范》，还包括工信部发布的《关于开展App违法违规收集使用个人信息专项治理的公告》、《工业和信息化部关于开展APP侵害用户权益专项整治工作的通知》以及《App违法违规收集使用个人信息行为认定方法》。

二、金融APP评测：小米金融

1. 使用前：隐私政策是否满足要求

1）违反最小必要原则，收集与其提供的服务无关的个人信息。

以支付业务为例，小米金融支付业务所收集的个人信息包括：姓名、国籍、性别、职业、住址、联系方式、身份证件的种类、号码和有效期、开户行、银行卡号、银行预留手机号、银行卡有效期外，还会收集订单信息、交易记录、转账记录、红包记录。如用户不提供上述信息，可能无法提供相关支付服务或功能。

根据2019年8月全国信息安全标准化技术委员会秘书处组织起草的《信息安全技术移动互联网应用（App）收集个人信息基本规范（草案）》，网络支付业务包括支付、提现、转账、账单等功能。其最小信息收集范围包括24项，即网络访问日志；手机号码；身份基本信息；身份证信息；国际移动设备识别码；客户操作行为；交易信息；账号、口令；银行账户信息；交易身份验证信息；客服通话记录和聊天消息。

按照该《基本规范》，订单信息、转账记录、红包记录并不再该范围内。

2）未建立并公布有效的个人信息安全投诉、举报渠道，同时并未承诺时限内(承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限)受理并处理的。

在小米金融APP隐私政策中，关于个人信息安全投诉和举报内容“如果您对收到的答复不满意，您可以将投诉移交给所在司法辖区的相关监管机构。如果您咨询我们，我们会根据您的实际情况，提供可能适用的相关投诉途径的信息。”而有关公司的联系方式，仅公司地址和邮箱。

根据网信办、工信部、公安部和市场监督管理总局发布的《App违法违规收集使用个人信息行为认定方法》，要求APP运营商建立并公布个人信息安全投诉、举报渠道，同时在承诺时限内受理并处理。

在小米的隐私政策中，关于个人信息安全的投诉和举报渠道，并未有提及，用户需要通过联系公司获取投诉途径。

3）以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限。

当用户申请修改支付密码时，需要提交身份证照片和手持身份证照片进行身份认证。

App专项治理工作组对此表示，由于App运营者没有事先掌握手机号与“人证合一”照片之间的关联关系，这种所谓的核验毫无逻辑，属于典型的以“欺骗”等方式收集个人敏感信息。

注：根据《关于开展App违法违规收集使用个人信息专项治理的公告》，受中央网信办、工信部、公安部、市场监管总局委托，全国信息安全标准化技术委员会、中国消费者协会、中国互联网协会、中国网络空间安全协会成立App专项治理工作组。

2. 注册时，判断密码是否存在安全漏洞

4）在用户身份认证后，超过4小是以上，并未采取措施对用户身份重新认证

评测依据：《移动金融客户端营业软件安全管理规范》在用户身份认证后，超过设定时限后，应采取措施对用户身份重新认证。

评测结果：小米金融的会出现以前情况，1）如果用户设置了手势密码或面容ID，用户在退出APP之后，再次打开APP需要验证手势密码或面容ID；用户如果在选择“退出登录”操作之后，需重置验证手势密码和面容ID；2）如果用户未设置了手势密码和面容ID，在退出APP之后，在超过4个小时以上重新打开APP时，并没有采取任何措施对用户身份进行重新认证；3）用户在选择“退出登录”操作之后，只能通过手机验证码或登陆密码2中方式进行身份验证。

5）用户登录APP时，仅采用一种要素对用户身份进行认证。

评测依据：《移动金融客户端营业软件安全管理规范》关于身份认证增强要求，客户端应用软件登录应采用两种或两种以上的要素对用户身份进行认证。

评测结果：用户登录只需要通过登陆密码或手机验证码登录小米金融APP。

修改登录密码前，小米金融App未对用户身份进行重新验证。

评测依据：《移动金融客户端营业软件安全管理规范》关于密码的设定与重置，修改登码前，应对用户身份进行重新验证；同时，要求在进行修改登录密码时，应采用两种或两种以上要素进行身份认证，如:数字证书、生物特征信息等。

评测结果：用户无需进行任何身份验证，可直接修改登录密码。

6）APP明文显示登录密码，未采取即时防护功能。

评测依据：《移动金融客户端营业软件安全管理规范》客户端应用软件的口令框应默认屏蔽显示，屏蔽显示时应使用同一特殊字符(例如*或•)代替。

评测结果：当用户重新设置登录密码时，密码在没有任何防护措施的情况下，被明显显示。

7）未限制用户使用初始登录密码与初始交易密码。

评测依据：《移动金融客户端营业软件安全管理规范》应严格限制使用初始登录密码与初始交易密码，若设置初始密码，应强制用户在首次登录后修改初始密码。