“无感劫持”危及信息安全

　　（漫画由AI生成 周蔚制作）

　　导读：

　　◆不法分子通过恶意代码“静默劫持”手机剪贴板，强制引流、自动完成预设操作，全程不留痕迹，让用户在无感状态下遭遇设备控制与隐私泄露风险。

　　◆每当用户扫码支付费用时，这些操作指令便会悄悄潜入用户手机的剪贴板，待用户后续打开对应平台时，指令会自动激活，完成操作，而手机机主对此全程毫无察觉。

　　◆令人担忧的是，由于“无感劫持”代码的植入方式极为隐蔽，涉案设备投放的多个地区，几乎没有用户发现权益被侵害并进行维权。

　　日常出行时，司机扫码停车、扫码充电已是随手就做的动作。没人会想到，这个再普通不过的操作，竟会让手机在毫不知情中被“隐形操控”。日前，浙江省松阳县检察院办结的一起非法控制计算机信息系统案，揭开了藏在便民扫码场景里的“无感劫持”内幕。

　　“无感劫持”，即未经用户知情同意，通过恶意代码“静默劫持”手机剪贴板，强制引流、自动完成设定操作，全程不留痕迹，让用户在无感状态下遭遇设备控制与隐私泄露风险。

　　“无感劫持”攫取巨额收益

　　2024年年初的一天，浙江松阳的赵女士在一次普通的商场停车交费过程中，意外遭遇了“无感劫持”。当时，她在某商场地下车库通过扫码完成停车费支付后，手机屏幕短暂弹出剪贴板被调用的提示，这一细节并未引起她的特别关注。但当她后续打开某视频App时，发现自己的账号莫名帮陌生人完成了平台“助力”操作——这类操作通常是用户为获取红包、优惠券或提现额度，邀请好友点击参与的活动。赵女士发现，她的手机剪贴板中，有一串自己从未复制过的陌生代码。

　　出于对个人隐私与信息安全的担忧，赵女士向该商场停车场管理方投诉。事实上，在此之前，停车场管理部门已多次接到类似的投诉反馈。工作人员在汇总相关投诉线索、收集证据后，于2024年3月向当地公安机关报案。这条覆盖全国多个省市、隐藏在各类扫码场景中的非法引流产业链，就此进入警方视线。

　　警方侦查查明，自2023年8月至2024年4月，卢某雇用人员搜集多个视频平台的红包助力链接，并将其上传至自己开发的专用软件。随后，他通过中介对接了多家提供扫码收费服务的小程序公司，将相关操作指令捆绑到停车场、充电桩等场景的收费二维码中。每当用户扫码支付费用时，这些红包助力指令便会悄悄潜入用户手机的剪贴板，待用户后续打开对应视频平台时，指令会自动激活，完成助力操作，而手机机主对此全程毫无察觉。

　　公安机关通过对卢某开发的专用软件进行技术勘查、对相关代码进行抽样鉴定，最终形成了完整的证据链，清晰还原了从非法侵入用户手机剪贴板到完成助力操作的全过程。相关证据表明，卢某通过收取红包金额50%至80%的分成作为好处费，累计非法获利1674万余元。一个红包链接至少需要10人助力，案涉几百万条红包口令，意味着其通过专用软件向用户手机发出了上千万次指令。

　　松阳县检察院依法提起公诉后，经过办案人员的释法说理，卢某主动退缴全部违法所得，并签署了认罪认罚具结书。2025年9月，法院以非法控制计算机信息系统罪判处卢某有期徒刑三年，缓刑四年，并处罚金150万元。

　　“无感劫持”已形成产业链

　　松阳县检察院办案检察官王伟告诉记者，卢某所经营的这类“无感劫持”业务已触达全国多地。他通过中介向全国几十家小程序公司推广该业务并达成合作，河南郑州某电动汽车充电设备公司便是其中之一，该公司由孙某负责经营。

　　这家公司将卢某提供的相关代码植入自家汽车充电桩的小程序后台，采用与停车场扫码相同的手段，实现“无感劫持”代码的暗中植入。在此过程中，卢某从中获取应用软件助力现金红包的分成，中介公司则从卢某处赚取推广费用，之后再以每成功复制操作1万次支付8元至12元的标准，向孙某的公司支付广告佣金。

　　经查，2023年7月至2024年8月，孙某的公司通过上述手段，非法控制用户手机系统累计2000余万次。令人担忧的是，由于“无感劫持”代码的植入方式极为隐蔽，涉案充电设备投放的多个地区，几乎没有用户发现权益被侵害并进行维权。

　　这起关联案件侦查终结后，公安机关移送河南省郑州高新技术产业开发区检察院（下称“郑州高新区检察院”）审查起诉。经该院提起公诉，今年1月，法院以非法控制计算机信息系统罪判处涉案充电设备公司罚金1万元；判处被告人孙某有期徒刑一年，缓刑一年六个月，并处罚金。

　　王伟告诉记者，卢某非法控制计算机信息系统一案中，黑色产业链的上、中、下游分工明确——上游主要负责提供程序、工具；中介负责介绍、推广；下游则直接实施非法控制行为。

　　中国社会科学院大学法学院副教授张初霞认为，涉案各主体须承担不同的法律责任：

　　上游程序提供方应承担最核心的法律责任，其主观上明知代码将被用于未经授权的剪贴板操作，客观上提供了技术工具并从中获利，在刑事责任方面构成提供侵入、非法控制计算机信息系统程序、工具罪。

　　中介广告公司作为业务推广方和上下游对接方，若明知代码的非法用途仍促成交易并从中分成，行为涉嫌非法控制计算机信息系统罪的共犯，在民事层面亦应承担连带赔偿责任。

　　下游程序使用方是侵权行为的直接实施者。其将“无感劫持”代码植入小程序后台，直接导致用户剪贴板被写入和读取，在刑事责任方面可能被认定为非法控制计算机信息系统罪的正犯。

　　“无感劫持”为何“无感”

　　通过采访两起案件的承办检察官，记者了解到，“无感劫持”乱象是多重因素叠加的结果。

　　犯罪技术新颖、手段隐蔽是首要原因。“目前市面上大部分手机没有剪贴板使用提示功能，用户并不知道自己的剪贴板被写入内容。此外，多数用户会将应用软件弹出的助力成功界面当作App开屏广告，不会过多留意就直接关闭了。”郑州高新区检察院检察官杨青介绍，因为消费者对这种犯罪技术不了解，加之会相对固定地使用充电设备，导致消费者手机在一段时间内大量、反复被“无感劫持”。

　　据悉，卢某非法控制计算机信息系统一案中，在小程序上线审核环节，众多小程序公司以业务需要为由申请了读取、写入剪贴板的隐私权限，在运营过程中，小程序公司技术人员通过增加或修改代码，就可以让第三方平台或者网信部门不能有效识别隐藏在复杂代码中的剪贴板劫持恶意功能，导致问题小程序应用流入市场。

　　“停车场、充电桩、按摩椅等都有‘刚需、高频、无人值守’等特点，且用户必须扫码才能使用，这种强需求为恶意代码的植入和传播提供了理想土壤。此外，损失难以量化、证据难以保存、维权成本与收益倒置等原因，让用户缺乏维权动力。即使有用户发现异常，也仅选择去投诉，而不是向警方报案，这让此类违法活动更加猖獗。”王伟告诉记者。

　　监管何以“失守”

　　现行监管机制为何未能对“无感劫持”形成有效遏制？张初霞认为，可能是基于以下原因：一是该类行为利用新型技术实施侵权，但现行法规对该类技术所引起的法律问题规范不足；二是相关扫码支付平台对第三方代码的审核不严，相关程序的运行机制存在漏洞；三是此类案件所涉行业较多，地域跨度较大，上下游链条过长，技术性较强，仅靠单一监管部门难以有效监管。

　　中国政法大学知识产权中心特约研究员、北京嘉潍律师事务所合伙人赵占领进一步解释：“这类新型技术侵权手段跨越线上线下多个场景，涉及小程序运营方、广告公司、电商平台等多个主体，跨地域取证困难，监管权责划分尚待进一步明晰，导致现行监管规则在执行层面未能完全覆盖此类技术变种。”

　　受访检察官表示，在案件侦破过程中，由于小程序数据存储分散、易销毁，电子证据链的完整性难以保障，同时，网信、公安等部门在信息共享、联合执法等方面缺乏有效协作，在监测预警、案件移送等环节存在脱节现象，无法形成打击此类犯罪的合力，使得犯罪分子有可乘之机。

　　“在法律规范层面，尽管个人信息保护法要求个人信息处理者处理信息前应当向个人告知处理目的、处理方式、信息种类等事项，且同意应当由个人在充分知情的前提下自愿、明确作出，但‘无感劫持’所涉及的，是剪贴板这一长期未被纳入明确法定权限范畴的数据接口。剪贴板中存储的内容可能包含个人信息，也可能仅为纯粹的操作口令字符串，这使得执法机关在判断是否构成‘个人信息处理行为’时，面临法律适用上的难度。”中国社会科学院法学研究所助理研究员苏和生补充道，“在监管执行层面，工信部等部门已对App、SDK（软件开发工具包）违法违规收集使用个人信息问题持续开展治理，定期通报违规App并要求整改。但此类通报主要针对的是已被检测发现的App，而实现‘无感劫持’往往是将代码植入小程序而非独立App，且‘无感劫持’代码植入行为分散于全国几十家小程序公司，监管部门难以通过常规抽查手段全面覆盖。”

　　“无感劫持”带来重重风险

　　前述案件中，消费者只要打开被植入“无感劫持”代码的小程序，手机剪贴板就会自动写入红包助力指令，在不知情的情况下，个人隐私与设备安全就已受到侵害。

　　王伟指出：“剪贴板是手机的核心数据中转站，用户会频繁复制密码、支付金额、收货地址、身份证号码、聊天记录、银行账号等高度敏感的个人信息。恶意代码在后台‘静默读取’剪贴板，相当于在用户不知情时，有双眼睛时刻盯着用户复制、粘贴的所有内容，存在将用户信息用于电信网络诈骗等非法活动的巨大风险。”

　　不仅如此，“无感劫持”现象的长期蔓延，会从根本上侵蚀数字经济赖以运行的用户信任基础。苏和生表示：“用户只有在相信自己的设备安全、个人信息得到有效保护的前提下，才会持续使用各类数字化服务。若‘无感劫持’等现象持续泛滥却得不到有效治理，用户将对扫码交费等日常数字行为产生普遍性的不信任，进而导致数字服务的使用频率和深度下降，损害整个数字经济的运行效率。”

　　从市场竞争秩序看，“无感劫持”以不正当手段获取流量和转化，破坏了广告市场的公平竞争环境。我国反不正当竞争法明确禁止未经其他经营者同意，在其合法提供的网络产品或者服务中，插入链接、强制进行目标跳转的行为。广告法、《互联网广告管理办法》也同样规定，互联网广告不得误导、强制用户点击、浏览，必须具备可识别性和可关闭性。

　　治理“无感劫持”路在何方

　　“无感劫持”不仅给个人隐私与设备安全造成威胁，长远来看，也不利于数字服务行业的健康发展。因此，亟须采取有效手段遏制乱象进一步蔓延。

　　面对藏在身边的“无感劫持”，普通用户该怎么办？王伟认为：“面对来源不明的小程序、诱导性弹窗广告或异常授权请求，用户要保持高度警惕；一旦发现设备运行异常、个人信息疑似泄露，应立即终止使用相关应用。”

　　赵占领补充道：“建议用户检查手机剪贴板权限设置，关闭非必要应用的剪贴板读取权限；发现异常跳转或剪贴板出现陌生内容时，及时截屏留存证据并向12315或网信部门举报。”

　　扫码场景经营者作为连接用户与小程序的关键节点，负有保障服务安全合规的审慎注意义务。对此，苏和生表示：“经营者应严格审查合作方提供的小程序的安全性，建立第三方代码准入审核机制，要求合作方提供代码的合规性声明及安全检测报告。在使用第三方广告服务时，应对广告代码的功能进行充分了解和测试，确认其不会未经用户授权执行写入或读取剪贴板等操作。经营者还应在隐私政策中明确告知用户小程序收集使用剪贴板信息的目的、方式和范围，获取用户明确同意，不得以‘静默复制’等方式规避告知义务。”

　　对于平台方，无论是手机应用商城还是微信等小程序平台，均应依据平台运营规范，严格限制平台内应用读取剪贴板的模式和权限。张初霞建议，应设置相应的平台内“审核—处罚”规则，对于部分存在“恶意调取”和“滥用接口能力”等违规情形的应用，应采取合适的方式提醒用户，并及时下架。

　　此外，个人信息保护法明确规定，收集个人信息应当限于实现处理目的的最小范围，不得过度收集个人信息。“小程序开发者应确保小程序仅在实际需要粘贴操作的场景才能读取剪贴板内容，禁止小程序在后台自动操纵剪贴板。”赵占领说。

　　习近平总书记深刻指出，维护网络安全是全社会共同责任。“无感劫持”黑产的治理，既是对个人信息权益的坚实捍卫，也是对数字经济公平秩序的有力维护。唯有以全链条监管斩断非法利益链，以技术屏障筑牢隐私防护墙，才能让扫码便民不再暗藏风险，让数字生活真正安全无忧、清朗可信。

来源：检察日报