蘋果APP中毒事件，誰該來向用戶道歉？

責(zé)任編輯：editor04 作者：一福 |來源：企業(yè)網(wǎng)D1Net 2015-09-19 21:30:30 本文摘自：鈦媒體

這兩天，被蘋果XCodeGhost特洛伊刷屏。通過在iOS開發(fā)工具Xcode中插入惡意代碼的病毒傳播方式在iOS上還是第一次。這也是去年黑客攻破蘋果iCloud服務(wù)器并公開女明星私人照片后的有一次重大安全事件。（詳情查看鈦媒體報道：《蘋果APP中毒事件究竟是怎么回事？為何騙過了App Store？》）

黑客已經(jīng)基本控制了你的手機

來自多個安全團隊的數(shù)據(jù)，AppStore下載量最高的5000個APP中有76款A(yù)PP被XCodeGhost感染，其中不乏大公司的知名應(yīng)用，也有不少金融類應(yīng)用，還有諸多民生類應(yīng)用。根據(jù)保守估計，受這次事件影響的用戶數(shù)超過一億；這些用戶可能面臨帳號泄露及經(jīng)濟損失的風(fēng)險。

按安全專家的說法，除了APP版本、APP名稱、本地語言、iOS版本、設(shè)備類型、國家碼等設(shè)備應(yīng)用信息能被上報至黑客控制的服務(wù)器，能精準(zhǔn)的區(qū)分每一臺iOS設(shè)備。

而對于普通用戶來說，后果遠遠超過想象。黑客通過這個能力，不僅能夠在受感染的iPhone中完成打開網(wǎng)頁、發(fā)短信、打電話等常規(guī)手機行為，甚至還可以操作具備偽協(xié)議能力的大量第三方APP。實際上，iPhone上的APP如果被感染，完全可以理解為黑客已經(jīng)基本控制了你的手機！

黑客要偷什么？這些工程師怎么了？

為什么要偷A(chǔ)pple帳號？簡單說幾點，一來可以幫第三方游戲及軟件等App應(yīng)用刷榜，通過其下載量變現(xiàn)；亂發(fā)iMessage廣告和短信變現(xiàn)；更危險的是，知道用戶的帳號后能得到相當(dāng)?shù)臋?quán)限，除了在蘋果商店下載大量的免費應(yīng)用，

當(dāng)用戶賬戶有錢的時候，可以輕易用你預(yù)存的錢或你的信用卡買app，偷賬戶里的錢，想想都可怕。至于多數(shù)人擔(dān)心的照片流出，其實，除非你是范X冰，否則人家對你的照片根本沒啥興趣，也不至于花這么大勁。

看看這次受影響APP的名單，驚訝于其中不乏來自各大知名公司的應(yīng)用產(chǎn)品。影響最大的可能就是微信，此外諸多高頻應(yīng)用包括炒股應(yīng)用同花順、高德地圖、滴滴打車、網(wǎng)易云音樂等。甚至還有中國聯(lián)通手機營業(yè)廳赫然在列。

按理說，開放這些應(yīng)用的大公司應(yīng)該有正確的電腦和軟件的使用制度。由公司統(tǒng)一配置開發(fā)所用電腦和測試所用的手機，以及上傳相應(yīng)的軟件和工具，它們的升級也應(yīng)該來自公司可信的來源。比如公司自己的專用內(nèi)部服務(wù)器，負責(zé)開放工具的分發(fā)及升級，或者直接從Apple官方下載，不允許用不明來源的電腦及軟件來做這個事。

Apple官網(wǎng)服務(wù)器在國外，這個客觀事實讓不少開發(fā)者感到下載速度特別慢，導(dǎo)致中途可能出現(xiàn)中斷的現(xiàn)象，不可否認(rèn)直接影響開發(fā)進度。為了提高效率，有工程師就在下載Xcode后，放到網(wǎng)盤上供其他人下載，也有的工程師可能就逾越了本來的官方渠道，到第三方下載，進而污染了公司開發(fā)系統(tǒng)內(nèi)部，而這次的問題就出在這里。

為什么這些應(yīng)用的開發(fā)方不用自己的服務(wù)器分發(fā)開發(fā)工具，工程師要到外面去亂找？對于大公司開發(fā)軟件項目，幾乎都是由一組工程師來完成，例如微信不可能是一名工程師單獨研發(fā)的，高德地圖、滴滴出行、網(wǎng)易云音樂、這些高頻應(yīng)用也不可能是一個人做出來的嘛。相信騰訊、網(wǎng)易、高德地圖、同花順、聯(lián)通這些大公司是有完善的開發(fā)制度可依，但可以肯定說，這次事件暴露了這些制度形同虛設(shè)，執(zhí)行不到位，導(dǎo)致的結(jié)果就是給用戶帶來了到現(xiàn)在還難以預(yù)估的巨大風(fēng)險和損失。

但事發(fā)這么多天來，不是每個公司都第一時間發(fā)現(xiàn)了問題，而且，聲明歸聲明，到現(xiàn)在為止沒有哪一家涉事公司采取更積極負責(zé)任的做法。例如強制升級，并同時禁止舊版本使用；用彈窗等發(fā)法明確告知用戶；而且目前還沒有哪家公司表示向警方報案，嚴(yán)懲犯罪分子。

中華人民共和國計算機信息系統(tǒng)安全保護條例總則第七條明確指出，任何組織或者個人，不得利用計算機信息系統(tǒng)從事危害國家利益、集體利益和公民合法利益的活動，不得危害計算機信息系統(tǒng)的安全。截至目前，沒有聽說哪家公司訴諸法律對此事進行報案。

蘋果中毒！這些公司又做了什么？

回頭說蘋果，之所以此次事件引發(fā)強烈關(guān)注，其中一個原因就是它攻陷了大眾對蘋果安全性的心理預(yù)期。這次事件也再次暴露了蘋果對安全的忽視。

蘋果的責(zé)任是什么？

首先，第一時間應(yīng)該下架目前所有有問題應(yīng)用；及時發(fā)布工具讓開發(fā)者檢測自己的開發(fā)環(huán)境是否已被污染；并幫助蘋果用戶快速檢查手機里是否存在問題應(yīng)用，并提示卸載。

到目前為止，筆者在蘋果官方網(wǎng)站沒有看到蘋果公司采取任何積極的措施，讓用戶知曉自己可能面臨的風(fēng)險，就不用說采取其他積極的措施補救了。一直以來，蘋果iPhone、iPad等設(shè)備被認(rèn)為是比Android等其他設(shè)備更安全的平臺，接二連三的事件讓蘋果更安全的神話破滅。

就在不久幾天前，蘋果發(fā)布了新的iPhone 6S系列手機及iPad Pro等設(shè)備，希望能夠進入更深的商務(wù)市場，而安全性正是商務(wù)人士及企業(yè)更關(guān)注的基礎(chǔ)。以庫克為代表的新一代蘋果高管若不對本次事件采取積極的應(yīng)對態(tài)度，勢必影響大眾對蘋果公司管理層的質(zhì)疑。

事件發(fā)生后，騰訊、網(wǎng)易、阿里巴巴等公司雖然發(fā)表了聲明；但仔細閱讀了這些聲明發(fā)現(xiàn)一個共同的問題：對用戶可能面臨的風(fēng)險避重就輕，回避自己應(yīng)該承擔(dān)的責(zé)任。用戶如果因為帳號泄露出現(xiàn)了經(jīng)濟損失或其他后果，這些公司是不打算承擔(dān)相應(yīng)責(zé)任的。而這件事之所以能夠這么嚴(yán)重，最主要的原因就是以上這些公司的開發(fā)人員不嚴(yán)格尊重相應(yīng)的管理制度，將惡意代碼意外引入，這些公司內(nèi)部的管理核查又是走形式，從而使得感染了惡意代碼的app通過合法的蘋果應(yīng)用商店發(fā)布出去。

以上公司在事件發(fā)生后雖然積極研究，并更新了版本，但對用戶風(fēng)險提示進行掩飾，可能進一步誤導(dǎo)用戶對風(fēng)險的重視不足，使得問題沒有及時徹底解決，對將來用戶構(gòu)成進一步風(fēng)險。

另外，這是中國移動互聯(lián)網(wǎng)歷史上，第一個重大的涉及犯罪的案件，各個涉事公司，竟然都對犯罪分子采取縱容放任的態(tài)度，不去報案。目前，網(wǎng)易表示犯罪分子的服務(wù)器已經(jīng)關(guān)閉，所以用戶就是安全的。這樣的表態(tài)是非常不妥及不負責(zé)的，這些精心策劃惡意代碼的犯罪份子，目前可能只是蟄伏避風(fēng)頭，如果不能以法律手段嚴(yán)懲，將來還有可能釀成更嚴(yán)重的事件，從而對社會，對大眾構(gòu)成更嚴(yán)重的風(fēng)險和損失。我國對高科技犯罪向來是嚴(yán)格執(zhí)法，以之前熊貓燒香等經(jīng)典案例來看，法律制度是完善的，但互聯(lián)網(wǎng)業(yè)界的相關(guān)公司不能諱疾忌醫(yī)，讓公眾安全承受威脅。

據(jù)盤古團隊一款Xcode病毒檢測工具, 目前有檢測出有問題的不同版本應(yīng)用超過800個, 仍在持續(xù)增加。

那現(xiàn)在用戶到底怎么辦？這次爆發(fā)主要受影響的是中國蘋果用戶，微信都中招了，趕快換蘋果ID的密碼是一件重要的事。

疑似受影響APP不完全名單及版本號：

微信 6.2.5

自由之戰(zhàn) - 1.0.9

我叫MT - 4.6.2

我叫MT 2 - 1.8.5

電話歸屬地助手 - 3.6.3

夫妻床頭話 - 2.0.1

同花順 - 9.26.03 - 9.26.01

鐵路12306 - 2.1

窮游 - 6.4.1