去年秋天，窃取用我在应用商店里下载了一款手电筒App。户信安装时它要求读取通讯录和位置信息。窃取用一个手电筒，户信要我的窃取用通讯录干什么？我点了拒绝，它直接闪退。户信换了一个，窃取用同样如此。户信最后我打开手机自带的窃取用闪光灯，问题解决了。户信但这件事让我意识到，窃取用那些看似无害的户信小工具，可能正在悄悄搬运我们的窃取用个人信息。

很多人以为只有山寨App才会干这种事。户信实际情况比这复杂。窃取用某知名输入法曾被曝出上传用户输入内容，虽然厂商解释是为了优化词库，但那些数据里包含的身份证号、银行卡密码、私密聊天记录，谁能保证不会被另作他用？还有那些天气App，安装后要求获取精确位置、设备识别码、甚至通话状态。你只是想看明天要不要带伞，它却想知道你的一切。

这些权限请求背后有一套成熟的商业逻辑。用户数据就是石油，这话说了很多年，但真正理解它含义的人不多。一个活跃用户的完整画像——年龄、性别、收入水平、消费习惯、社交关系、常去地点——在黑市上能卖到几块钱到几十块钱不等。单个看不多，但乘以几亿用户，就是一笔巨大的生意。有些App开发商根本不靠App本身赚钱，他们靠卖数据活着。

更隐蔽的是SDK。你下载的App可能本身规矩，但它集成的第三方SDK不规矩。一个推送服务SDK，一个广告SDK，一个统计SDK，它们各自在后台运行，各自收集自己需要的数据。你以为只装了一个App，实际上装了好几个数据收集器。2019年有个案例，某款下载量过亿的App被查出集成的某个SDK私自读取用户短信，而App开发商对此毫不知情。链条太长，责任太散，最后谁都不认账。

普通用户能做什么？我试过几种方法。第一，安装前看权限列表，一个计算器要定位权限，直接放弃。第二，用手机自带的权限管理功能，把非必要权限全部关掉。第三，定期检查哪些App在后台频繁读取位置或通讯录。安卓和iOS现在都有这类功能，只是藏得比较深。第四，尽量从官方商店下载，虽然官方商店也有漏网之鱼，但概率低一些。

监管在收紧。工信部这两年频繁通报违规App，要求整改。但处罚力度和违规收益比起来，还是太轻。一个App被下架，换个名字重新上架，成本低得可以忽略不计。真正有效的办法可能是让数据收集变得透明，让用户能实时看到哪个App在什么时候读取了什么信息，并且能一键禁止。欧盟的GDPR走了这条路，效果有待观察，但方向是对的。

说到底，App窃取用户信息不是技术问题，是利益问题。只要数据能换钱，就有人愿意冒险。作为用户，我们没法改变商业模式，但可以让自己不那么容易被偷。关掉不必要的权限，删掉不用的App，偶尔看看手机里的隐私报告。这些动作花不了几分钟，但能挡住大部分明面上的窥探。至于那些藏在暗处的，只能靠监管和技术进步慢慢解决。

(责任编辑：时尚)