![]()
2024年美国应用商店下载量前十的App里,超过半数来自中国开发者。这个数字本身没什么问题——直到FBI发了一份公告,提醒人们注意"外国开发应用"的数据收集风险。公告没点名,但列出的风险清单读起来像一份TikTok、CapCut、Temu们的使用说明书。
问题不在于这些App做了什么,而在于它们被要求做什么。
中国《国家情报法》和《网络安全法》有条款规定,企业可能被要求配合国家情报工作。对单个用户来说,这是抽象的;对3亿月活的TikTok、2亿下载的CapCut来说,这意味着什么,FBI没说透,但话已经递到这儿了。
权限陷阱:你点的"允许"是终身制
没人读权限弹窗。FBI的分析师大概也清楚这一点——他们专门花了半页纸描述"通讯录同步"的隐患。不是"可能收集",是"持续收集、长期存储、境外服务器"。
CapCut剪视频时问你要通讯录,说是"方便分享给好友"。Temu拼单时同步联系人,说是"帮你找也在用的人"。这些功能设计得像是社交刚需,但FBI指出一个技术细节:一旦授权,数据上传是持续的,不是一次性的。你删了App,服务器上的副本未必跟着消失。
更麻烦的是"不授权就不让用"。某些功能被包装成核心体验,拒绝等于放弃产品。这不是暗箱操作,是写在用户协议里的明牌——只是字体小到需要放大镜。
恶意软件是另一层。FBI提到部分应用可能利用漏洞绕过标准权限,建立"更深层的系统访问通道"。翻译成人话:你以为只给了相册权限,它可能拿到了更多。
数据地图:你的社交关系值多少钱
FBI公告里有个词用得谨慎:"social mapping(社交图谱绘制)"。听起来像学术黑话,实际很具体——通过你的通讯录,可以还原你认识谁、你们多久联系、谁是你的枢纽节点。
情报分析里,这比单个用户的聊天记录值钱得多。一个人不知道的秘密,他的社交圈可能拼凑出来。CapCut母公司字节跳动、Temu母公司拼多多,都有庞大的国内数据基础设施。FBI没说这会被怎么用,但强调了"境外存储"和"法律框架差异"这两个变量。
Shein和Lemon8也在讨论范围内。前者掌握全球快时尚消费者的尺码、地址、支付偏好;后者是字节跳动的"生活方式社区",用户画像更精细。这些数据的共同点?量大、维度多、且用户主动提供。
苹果和谷歌的审核机制在这里显得被动。它们查代码合规,但管不了服务器在哪、数据存多久、什么情况下会被调取。FBI的警告本质是提醒:应用商店的安全承诺,到国境线为止。
没有黑名单,但风险是真实的
公告最微妙的地方是没列名单。FBI解释过:应用排名变得太快,点名反而过时。但市场数据不会说谎——2024年美国iOS免费榜,Temu连续霸榜170天;CapCut是创作者工具类的绝对头部;TikTok即便面临禁令诉讼,月活仍在涨。
这些产品的用户体验做得越好,用户越难割舍。CapCut的模板库、Temu的价格、TikTok的算法,都是实打实的产品力。FBI的警告不是要人卸载,是提醒"免费"的定价模型里,数据是隐性支付手段。
有个细节值得玩味:公告专门区分了"合法收集"和"潜在未授权访问"。前者你同意了,后者你可能根本不知道。比如某些SDK(软件开发工具包)嵌在App里,开发者自己都不一定清楚全部行为。供应链的安全,比单个App更不可控。
企业端的反应是割裂的。TikTok花了15亿美元搞"得克萨斯计划",把美国用户数据存在甲骨文服务器上,试图切断母公司访问。但国会听证会上,CEO周受资被追问的依然是"字节跳动员工能否接触美国数据"——技术隔离和法律隔离,是两件事。
Temu和Shein的应对更低调:强调数据存在美国或新加坡,淡化中国总部的关联。但FBI的公告把"法律管辖权"摆上台面——服务器位置是一回事,企业注册地和实际控制人国籍是另一回事。
用户能做什么?比想象中少。读权限说明、定期检查授权、用系统级的隐私仪表板——这些FBI都建议了,但也承认"大多数用户不会这么做"。产品设计的惯性太强,单个用户的警惕在商业模式面前像螳臂当车。
一个可能的变数是政策。美国已有州级法案要求应用商店标注"外国对手控制的应用",联邦层面的类似立法在推进中。但标签本身不解决技术问题,只是把知情权还给了用户——至于用户看不看,是另一回事。
CapCut最近更新了隐私政策,把"数据可能存储于中国"的说明调到了更显眼的位置。这是压力下的合规动作,还是真正的透明化,取决于你怎么理解"显眼"——它依然在折叠菜单的第三层。
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.