消保處公布三款安卓手機資安缺失

行政院消費者保護處今天(7/7)公布智慧型手機資安檢測檢果，發現HTC New One、Samsung Note 3、Sony Xperia Z等三款暢銷智慧型手機，各有三項以上的資安缺失。業者在收到消保處通知之後，目前都已經改善完畢，並釋出軟體供民眾更新。消保處表示，這次的檢測結果發現13項的資安缺失，包含不安全的加密方式、權限設定不當和安全驗證機制不當。消保處說明，這次只針對android(安卓)系統手機抽查，不代表蘋果手機就比較安全，民眾不管使用哪種手機，都要積極更新，避免點閱來路不明的網址。消保處未來會成立專責單位，嚴格監控手機產品。

行政院消保處為了解智慧型手機內建搭載軟體之安全性，市購HTC New One、Samsung Note 3、Sony Xperia Z等三款智慧型旗艦手機，並委託國內唯一具專業資安測試能力的財團法人資訊工業策進會資安科技研究所進行檢測，檢測標準則參照國際知名資安組織所發布常見的行動裝置十大資安漏洞(「OWASP Top 10 Mobile Risks」)之測試內容為主，檢測標準則參照國際知名資安組織「OWASP Top 10 Mobile Risks」與「SANS: CWE/SANS TOP 25 Most Dangerous Software Errors」之測試內容為主，測試結果發現該3款手機具有如下資安疑慮缺失(詳細檢測結果如附表)：
(一) HTC New One：
１、手機上之筆記應用程式資料缺乏更嚴謹的保護措施，造成機敏資料有外洩之虞。高風險部分：使用者筆記內容以明文儲存且讀取權限設置不當，造成機敏資料有外洩之虞。
２、「Wi-Fi熱點」與導航應用程式密碼以明文方式儲存與傳輸，可能遭到竊取，用以上網。低風險部分：導航應用程式Ndrive註冊時，使用者帳號密碼以明文方式傳輸及應用程式「Wi-Fi熱點」密碼以明文方式儲存。
（二）Samsung GALAXY Note 3：
１、手機上之筆記應用程式資料缺乏更嚴謹的保護措施，造成資料有外洩之虞。高風險部分：使用者筆記內容以明文儲存且讀取權限設置不當，造成機敏資料有外洩之虞。
２、應用程式網路加密連線機制缺乏更嚴謹的驗證機制，可能導致使用者連線至惡意網站而遭到攻擊。低風險部分：應用程式以SSL加密連線至網站時，未驗證憑證是否簽發給連線網站，可能使應用程式因故被導向至釣魚網站時。
(三) Sony Xperia Z：
１、手機上之筆記應用程式資料缺乏更嚴謹的保護措施，造成資料有外洩之虞。高風險部分：使用者筆記內容以明文儲存且讀取權限設置不當，造成機敏資料有外洩之虞。
２、應用程式密碼與使用者資料以明文方式儲存與傳輸，可能遭到竊取，造成資訊有洩漏之虞。低風險部分：應用程式於登入使用者帳號時，將使用者帳號密碼以明文傳輸及車用模式開啟時，下拉式訊息列可能包含部分或完整機敏資訊(如即時通訊息內容、個資等)，造成機敏資訊洩漏有洩漏之虞。
３、車用模式應用程式畫面操作權限處理不當，未發揮原有的操作限制功能，可能造成資料的洩漏。

經行政院消保處與業者多次溝通協調，已由業者改善完成並釋出更新軟體供消費者下載。