中国公司在安卓手机留“后门”?

上海广升信息技术有限公司针对《中国公司在安卓手机留“后门”》公布道歉声明，声明称该定制化的版本将采集短信内容以满足部分国内品牌客户手机智能短信模块的需求，通过后端的批量数据分析，智能识别垃圾短信、公众服务号码并进行短信分类，从而改善手机体验，不小心包含在美国销售的BLU设备中。

道歉声明全文如下：

上海广升信息技术有限公司关于近期媒体有关报道的声明

就近期媒体有关报道，我公司声明如下：

上海广升信息技术有限公司（下称：广升）是一家为用户提供专业空中固件下载（Firmware Over-The-Air）及更新服务的企业。我们提供的云服务涉及云主机、CDN以及同意制造商更新其所有设备模型的服务。我们的客户包括全球智能设备制造商、移动运营商、以及半导体厂商。

为了确保广升的空中固件下载应用能够为设备提供精准的更新和服务，我们采集了机型信息、设备状态、应用信息、bin/xbin信息、电话短信的汇总信息，以便验证相关更新和服务是否送达至指定设备。同时，在传输过程中广升使用https并且多重加密以确保数据安全。自公司成立以来，广升的空中固件下载应用非常重视用户及客户的安全隐私，始终不断地丰富更多用户功能和加强用户安全保护。

关于客户对拦截垃圾广告和电话的需求，客户的期望是广升能够提供一种用以标注垃圾广告和电话的方式。因此，我们开发了一个相关的解决方案，并且可以在广升的空中固件下载应用中使用。该定制化的版本将采集短信内容以满足部分国内品牌客户手机智能短信模块的需求，通过后端的批量数据分析，智能识别垃圾短信、公众服务号码并进行短信分类，从而改善手机体验。收集短信发送信息的目的是为识别恶意扣费的短信通道号。该功能如果检测到特定的关键词或者非用户通讯录中的电话号码时就会作出相应标注。

2016年6月，Blu Product部分机型应用了广升特定版本的空中固件下载应用。由于疏忽，其中包含了广升为其他客户提供的垃圾广告及电话拦截功能，当Blu Product提出异议时，广升马上 采取措施终止了这项功能。随后，广升为Blu Product更新了相关应用，并通过了Kryptowire的测试。此外，广升不仅正在与Blu Product和谷歌协同合作，用来确保这种拦截垃圾广告和电话的功能不会在升级后的Blu 手机上出现，还将继续深化合作从而进一步加强其产品的用户安全隐私。在此，广升诚挚地向合作伙伴及用户表示歉意。今后，我们将严格进行流程管控，为合作伙伴和客户提供最优质产品及服务，为消费者打造世界领先的物联网终端治理 云平台。

上海广升信息技术有限公司

早先，纽约时报公布一篇报道《中国公司被指在安卓手机留“后门”》，该报道引起了国内外舆论的广泛关注。

中国公司被指在安卓手机留“后门”

华盛顿——花大约50美元（约合340元人民币），你就可以买到一部带有高清显示和快速数据服务的智能手机。从事信息安全工作的承包商说，这种手机还有一种秘密功能：它有一个后门，会每隔72小时就把你所有的短信都发送到中国。

从事安全工作的承包商最近在一些安卓(Android)手机上发现了预装软件，这种软件监视用户去过哪里，他们与什么人聊过天，他们在短信中写了什么。美国当局表示，尚不清楚这是一种为了广告目的而秘密进行的数据挖掘，还是一种中国政府收集情报的努力。

受这种软件影响最大的是国际客户、临时手机用户以及预付话费的用户。但还不清楚其影响范围有多大。这个软件是中国的上海广升信息技术有限公司(Adups)编写的，该公司称其代码在超过七亿部手机、汽车和其他智能设备上运行。美国手机制造商BLU产品公司表示，其12万部手机受到影响，公司已更新了软件，删除了这个功能。

发现该漏洞的信息安全公司Kryptowire说，广升的软件将短信的全文、联系人名单、通话记录、位置信息，以及其他数据传输到一个中国的服务器上去。Kryptowire副总裁汤姆·卡拉吉安尼斯(Tom Karygiannis)说，代码是预装在手机上的，但没有向用户披露这种监视功能，Kryptowire公司位于弗吉尼亚州的费尔法克斯。“即使你想知道，你也不可能知道有这个东西，”他说。

虽然信息安全专家经常在消费者电子产品中发现漏洞，但这次的情况很特别。这不是一个程序错误。相反，据广升向BLU高管提供的解释这个问题的文件，广升有意设计了这个软件，以帮助中国手机制造商监视用户行为。广升表示，带有上述功能的软件版本原本不是为美国手机写的。

“这是家犯了错误的私人公司，”加利福尼亚州帕洛阿尔托的律师林丽丽(Lily Lim)说，她是广升的法律代理。

这个问题显示了处在整个技术供应链中的公司，如何能够在制造商或用户知情或不知情的情况下侵害隐私。它也让人看到了中国公司——进而延伸到中国政府——可以监视手机的一种方式。多年来，中国政府一直在使用各种方法来过滤和跟踪互联网的使用，监视在线对话。政府要求在中国经营的技术公司遵守严格的规则。林丽丽说，广升不隶属于中国政府部门。

这个问题的核心是一种被称为“固件”的特别 类型软件，固件告诉手机如何进行操作。广升提供的代码让公司能远程更新其固件，这是一个用户基本上看不到的重要功能。通常，当手机制造商更新其固件时，它会告诉用户做了什么，也会告诉用户它是否将使用个人信息。尽管用户通常对这种很长的法律声明文本毫不关怀 ，但毕竟告知了用户。广升的软件则未作有关声明，Kryptowire说。

据广升的网站，该公司向世界上两家最大的手机制造商中兴和华为提供软件。这两家公司都在中国。

位于佛罗里达州的BLU产品公司的首席执行官塞缪尔·奥赫夫-锡安(Samuel Ohev-Zion)说：“这显然是我们不知道的事情。我们非常迅速地进行了纠正。”

他补充说，广升已向他保证，从BLU客户那里获得的所有信息都已被销毁。

据广升提供的文件，这款软件是根据一个未指明的中国制造商的要求编写的，该制造商希望软件有存储通话记录、短信消息和其他数据的功能。广升说，中国公司使用这些数据提供客户支持。

林丽丽说，该软件的目的是帮助中国客户识别垃圾短信和电话。她没有给出提这个要求的公司的名字，并表示不知道有多少手机受了影响。林丽丽称，向用户声明隐私政策的责任在电话公司，不在广升。她说，“广升只不过是按照电话分销商的要求提供功能而已。”

安卓手机用的软件是谷歌(Google)开发的，并免费提供给手机制造商按照自己的需要改制。一名谷歌负责人表示，公司曾告诉广升，让其把监视功能从运行Google Play商店等服务的手机上删除。但这不会包括中国的设备，虽然中国有数亿人使用安卓手机，但由于审查的原因，谷歌不在中国运营。

由于广升尚未公布受影响手机的名单，目前不清楚用户如何能确定他们的手机是否有问题。“有点技术能力的人也许能自己解决，”Kryptowire副总裁卡拉吉安尼斯说。“但一般的消费者怎么办？他们没有办法。”

林丽丽说，她不知道用户怎样能确定他们是否受到影响。

广升还提供被称为“大数据”的服务，帮助公司研究其客户，“更好地了解他们，了解他们喜欢什么、他们使用什么、他们从哪里来，还有他们的喜好，以为他们提供更好的服务，”公司的网站说。

Kryptowire发现这个问题的过程既带有偶然性，也受到好奇心的驱使。卡拉吉安尼斯说，公司的一名研究员为一次海外旅行买了一部廉价的BLU R1 HD手机。在设置手机时，这名研究人员注意到不平常的网络活动。据Kryptowire的报告，在接下来的一周里，分析师注意到该手机在向位于上海的一个服务器发送短信内容，该服务器注册在广升名下。

Kryptowire已把这一发现上报了美国政府。公司计划最早在周二公布其报告。

美国国土安全部发言人玛莎·卡特伦(Marsha Catron)说，国土安全部“最近获悉了Kryptowire发现的问题，正在与我们的公共和私营部门合作伙伴一起确定适当的缓解策略。”

虽然Kryptowire是一家国土安全部的承包商，但公司对BLU手机的分析是独立于政府合同进行的。

BLU首席执行官奥赫夫-锡安说，他确信公司已经为客户解决了这个问题。“如今已经不存在收集这些信息的BLU设备了，”他说。

Adam Goldman对本文有报道贡献。翻译：Cindy Hao