拼多多海外版Temu被起诉！这款 恶意风险软件 无机设想做空咱们！ 秘密从少量未经授权的用户数据中牟利 回应
整顿丨诺亚
出品 | 技术栈（微信号：blog51cto）
在美国迅速崛起并惹起宽泛关注的中国购物运行Temu，其影响力之大，甚至有信息指出电商巨头亚马逊也正试图效仿。但是，这款抢手运行当初却堕入了争议的漩涡。
Temu，中文名为“多多买”，是拼多多公司旗下的跨境电商平台，于2022年9月在美国正式上线。其外围商业形式自创了拼多多在国际的成功阅历，主打高价战略和社交电商形式，经过大规模洽购以降落老本，同时激励用户经过火享链接给好友失掉额外活动，以此吸引少量用户并极速扩展市场份额。
美国阿肯色州总检察长蒂姆·格里芬于近日提起了一项诉讼，将Temu比作“风险的恶意软件”，指控其未经用户授权，暗中搜集并应用少量团体数据。
1.被指摘的运行设计
依据格里芬援用的钻研报告与媒体披露，Temu的设计被以为存在恶意目的，故意给予自身对用户手机操作系统的片面访问权限，范畴涵盖摄像头、准确天文位置、通讯录、短信、文件以及装置的其余运行等敏感信息。
格里芬示意：“Temu的运行设计得十分隐蔽，即使是技术高手也很难留意到它宽泛的访问权限。一旦装上，这个运行能自我修正并扭转个性，甚至能笼罩用户自设的数据隐衷包全设置，让人防不胜防。”他担忧的是，Temu简直能失掉手机上的一切数据，无论你是经常使用者还是未经常使用的人，都或者面临极高的隐衷和安保要挟。
诉讼中提到，假设你的好友装置了这款购物App，就算你只是给他们发个短信或邮件，你的公家信息也或者不安保了。由于Temu或者会搜集这些信息，听说还会把它们卖给其他人来赚钱，这样一来，用户的隐衷权益就被“有情侵犯”了。
2.被疑心的运营希图
更让人担忧的是，由于中国的法律规则公司须要跟情报部门协作，Temu的母公司PDD控股集团，即使面对美国的数据包全规则，或者也得依照中国法律把数据分享给中国政府，这让用户的隐衷风险“大大参与”。
格里芬在他的起诉中提到了一个名叫Grizzly Research的机构去年9月份做的具体考查。这个机构专门剖析上市公司，好让投资者们了解状况。Grizzly Research在报告里直指PDD控股集团是个“骗人的公司”，并且说“Temu运行程序是个藏得很深的特务软件，对美国的安保有着急切的要挟。”
格里芬以为，Temu用打折和好货的承诺来诱惑顾客，还经过像玩转盘赢活动这样的让人上瘾的小游戏，让大家频繁登录，实践上是为了搜集更多的团体信息。而且，格里芬指出，很多人向商业改良局揭发说Temu卖的物品品质不好，这仿佛证明了他的想法：Temu的真正目的不是要做成世界顶尖的购物运行，而是要盗取数据。考查人员也站在他这边，他们感觉“Temu很或者会合法卖掉从欧美用户那偷来的数据，来援救一个原本注定失败的商业形式。”
3.来自Temu的还击：纯属无稽之谈
为了禁止Temu或者的监督活动，格里芬正寻求法院颁布禁令。他希冀陪审团能认定，Temu的这些做法违犯了阿肯色州的《反欺诈贸易行为法》和《团体隐衷包全法》。假设法庭判Temu败诉，它每违犯一次性《反欺诈贸易行为法》就或者要支付1万美元罚款，并且或者自愿交出经过贩卖数据和运行内虚伪买卖所得的所有收益。
对此，Temu的一位发言人向Ars网站宣布申明，对Grizzly Research的考查报告提出了质疑，并示意公司对阿肯色州检察官“未经独立查证就起诉”感到“震惊和绝望”。
发言人强调说：“诉讼中的那些说法是基于网络高端传的不实信息，源头重要是某个希图做空咱们的机构，这些指摘纯属无稽之谈。咱们波动推戴这些无故的指控，并将踊跃为自己辩护。”
“作为驳回陈腐供应链形式的新兴企业，咱们意识到自己或者初看起来让某些人感到生疏，甚至不那么受欢迎。咱们一心一意谋求久远开展，并置信经过深化审查，这一切都将促成咱们的生长。咱们坚信，随着期间的推移，咱们的实践执行和对社会的踊跃奉献会为咱们赢得应有的认可。”
4.风险来自哪里
虽然面临安保与隐衷方面的质疑，Temu去年仍一跃成为美国下载量最高的运行，其受欢迎水平继续攀升。
格里芬的起诉中提到，去年，Temu成为了美国下载量最多的运行程序，而大少数用户无从得悉这款运行涉嫌搜集“少量敏感用户数据”，这些数据“超出了一个在线购物运行的必要范畴”。
依据格里芬的表述，Temu涉嫌经过具备误导性的服务条款和隐衷政策来掩盖其对数据的未经授权访问，这些政策没有向用户警示运行程序或者搜集的数据的所有范畴。这包括未告知用户为了未明白的目的追踪准确位置信息，以及“甚至搜集用户的动物识别信息，如指纹”。
运行商店的安保扫描并未标志Temu的风险，格里芬称，由于Temu可以在“被下载到用户手机后更改自己的代码”——这象征着一旦经过安保审核点，它实质上能够转变为恶意软件。
这仿佛使得Temu能够“应用”用户的团体身份信息（PII）“及其余数据，或以未知且不可预知的方式控制用户设施”。
为了成功这一目的，与拼多多相似，Temu据称依赖于旨在成功“权限优化”的代码设计，这是一种网络攻打类型，应用操作系统破绽取得超出授权级别的数据访问权限。
Grizzly Research还发现了一项关键点：Temu运行仿佛能轻松规避安保审核，这得益于其源代码中一个“代码命名含糊化”的技巧。这个技巧十分隐蔽，以致于无论是装置前后，还是在执行深度浸透测试时，安保扫描都不可发觉。
起诉进一步指出，Temu有或者在遭逢安保扫描时，经过便捷地变换其行为体现，来回避那些旨在发现恶意软件的调试工具。
此外，有报告提醒Temu在安卓设施上应用了一项权限，这项权限被谷歌标志为存在“高度风险或触及敏感操作”，准许它在未经用户“知情或赞同”的状况下装置恣意软件。虽然局部运行确实因配置所需驳回此类权限，但格里芬强调，在一个定位为电子商务平台的Temu运行上，领有这样的权限并无正当解释。
他正告称，“绕过手机安保系统的才干是风险的，由于它或者准许Temu读取用户的公家信息、更改手机设置并跟踪通知。”这就是为什么Grizzly Research以为Temu是“目前宽泛传达的最风险的恶意软件/特务软件包”。
依据Statista的数据，随着安保和隐衷风险报告的出现，Temu的受欢迎水平不减反增。5月份，“该运行在世界范畴内被下载超越5.2亿次，使其比亚马逊更受欢迎。”随着Temu人气飙升，格里芬宿愿参与，禁止或者影响数百万人的欺诈性和侵犯隐衷的贸易行为。
参考链接：
