App自动保存用户图片 京东金融道歉功能存在技术问题

　　京东金融致歉 “因为我们这个低级失误，给用户和行业带来广泛担忧，伤害到京东金融长期以来积累的用户信赖，我们比谁都觉得不值得，非常懊恼、非常痛心、非常自责。用户信赖是京东金融发展的底线，京东金融也恪守正道成功的商业经营理念，我们绝不会做任何侵害用户权益的事。”

　　日前，有用户在微博发布视频，爆料京东金融App自动保存用户图片在安卓手机的文件夹内，并质疑京东金融App侵犯用户隐私。

　　昨天下午，京东金融发布技术排查结果，承认存在技术失误，向客户致歉，但表示相关缓存图片仅存在用户手机本地，京东金融App绝没有对用户照片和截屏进行私自上传，也未发现任何一张未经授权的图片被收集。

　　据悉，京东金融下周将邀请包括本次问题发现者在内的用户和外部专家、媒体组成信息安全顾问小组，对京东金融App提供的产品和服务进行独立、长期的检查监督，并将定期公布顾问小组的检查结果。

　　发现

　　京东金融App自动保存图片

　　用户担心隐私被窃取

　　微博网友“@瘦出的肋骨已经消失的大侠阿木”（以下简称“阿木”）2月16日凌晨2时13分、2时35分各上传一条视频，质疑京东金融App获取用户敏感图片信息。

　　在第一条视频，阿木用自己的安卓手机先将京东金融App打开，然后进入后台运行，之后再打开招行App，随意进入一个广告界面后截图，再进入文件管理器，打开目录，找到京东金融的文件夹，发现刚才那张截图就在这个文件夹里。

　　第二条视频，阿木还是跟之前一样，打开并后台运行京东金融App，之后用美颜相机随便拍了一张照片，结果在京东金融的文件夹里竟也看到了这张新拍的照片。

　　据了解，阿木是一名业余安卓开发者，最近在研究安卓手机软件的目录。2月15日是他发工资日，当天下午他通过QQ向朋友发送了招商银行(29.870, 0.72, 2.47%)App的截图。2月16日凌晨1时40分，阿木在研究手机应用的文件目录时意外发现京东金融App缓存文件中竟然有这张截图。于是阿木录了第一条视频上传微博。经朋友提醒，阿木发现使用美颜相机拍的照片也会在京东金融文件夹里留下缓存图片，就上传了第二条视频。

　　阿木的微博发出后，引起很多网友的关注，大家最担心的是，京东金融App会把这些用户手机里的照片上传云端收集分析，窃取客户隐私。

　　2月16日凌晨3时23分，也就是阿木的微博发出一个小时左右，京东金融的工作人员就与他联系，希望阿木提供京东金融账号便于查询处理，但是被阿木拒绝。当天上午，很多网友如法炮制时，已经无法复现成功，在京东金融的文件夹里已经看不见自己的图片。

　　回应

　　“截图反馈”方便沟通

　　“图片助手”暂时下线

　　2月16日16时51分，京东金融客服官方微博发布“关于@瘦出的肋骨已经消失的大侠阿木反馈问题的声明”。声明首先回答了大家最关心的问题：为什么会有图片缓存？是否为窃取用户隐私？

　　京东金融称，如果用户打开京东金融App后进行了截图，会认为用户有可能想向客服投诉或建议。为了方便用户和客服沟通，就在用户界面的左上角展示图片提示，用户可进一步选择是否联系客服并发送图片。而阿木视频里的图片正是该提示图片在手机本地的缓存。该缓存图片仅用于用户手机上的提示，只要用户不选择发送给客服，这些图片都会乖乖地待在用户的手机里，京东金融后台系统是绝对看不到的。

　　京东金融同时郑重承诺，绝不会收集未经用户授权的任何信息。缓存图片只存储在用户本地手机设备内，仅供用户本地操作提示，不会上传到京东金融后台系统。图片只在用户选择发送客服后才会上传服务器，京东金融后台系统才会看到图片。

　　京东金融当时向阿木的监督表示感谢，也对广大用户致以歉意，并表示暂时下线“图片助手”小功能，待进一步改进用户安全体验后再上线。

　　争论

　　本地缓存没侵犯隐私

　　拷贝用户数据不能接受

　　不过，对于京东金融的这一回应，阿木有不同意见。2月16日17时11分，也就是京东金融第一份声明发出20分钟后，阿木发布微博，认为京东金融有关“截图反馈”的解释并无说服力，解释不了他第二条视频反映的留存美颜相机照片的问题。

　　阿木写道：“因为我的第二条视频还证明了京东金融还会‘窃取’美颜相机的照片。这个和‘截图反馈’功能毫无关系。又怎么解释呢？另外，技术角度上讲，‘截图反馈’功能，只需要缓存这张图片原始的路径即可，而不需要复制一份原始图片，因为既浪费时间，又浪费性能，还浪费内存空间。所以仍然有理由进行进一步的揣测，京东金融确实是为了其他目的才这么做的。”

　　有安全技术专家也认为，拷贝用户数据到自己的目录下，无论出于什么样的理由都是不可接受的。

　　不过，北京青年报记者注意到，也有网友在阿木的微博下留言称，阿木给出的爆料只能证明京东金融这款App在用户手机后台里不太规矩，会收集手机本地文件里的图片，但是并没有将这些照片上传到京东服务器上的直接证据。毕竟本地图片缓存不管怎么操作都还是在客户自己的手机里，只有私自上传才会侵犯客户隐私。

　　还有网友认为，截图反馈是App的“标准操作”，其他很多App都有类似功能。京东金融App可能是出了什么 BUG。因为如果真要用户的截图，根本不用这么麻烦复制到自己的目录，即使要复制也不可能这么不加掩饰，不会让用户这么轻而易举地就直接打开看见。最大可能这个截图拦截是给“反馈”功能使用的，但不知道是由于技术问题还是其他原因变成了拦截所有图片。

　　声明

　　功能开发存在技术问题

　　明确“图片不会私自上传”

　　经过24小时的全面排查，昨天14时56分，京东金融官微发布最新声明并向客户致歉。京东金融承认开发技术存在问题，但是没有对用户照片和截屏进行私自上传，经排查也未发现任何一张未经授权的图片被收集。

　　京东金融在声明中称，安全技术团队对所有版本的京东金融App进行排查后，发现安卓系统上的App5.0.5以后的版本存在该问题，并已定位问题且下线修复。

　　根据京东金融的解释，2018年12月，京东金融App5.0.5版本上线了客服截屏反馈功能，此功能的目的是，用户对京东金融App进行截屏时，本人可将京东金融App截屏发送给在线客服人员，以提高与在线客服的沟通效率。此功能可以实现截屏的本地缓存以及预览缩略图快速展示，但技术上不具备图片自动上传的能力，图片仅缓存在用户手机本地。

　　声明承认京东金融App在该项功能开发上存在技术问题，具体为用户将京东金融App切换到后台后，该功能继续运行，继续接收新增图片通知（包括截屏和照片等）并在手机本地缓存，而原功能设计需求是切换后自动停止该功能，属于需求错误开发。同时，经过安全技术团队深度评估，该功能也不应该使用手机缓存技术来实现，应该直接使用手机实时内存（RAM）实现并增强提醒，无需使用手机本地缓存，当京东金融App切换或退出时，将自动清空。

　　对于技术上的这种低级失误，京东金融也表示十分痛心。“因为我们这个低级失误，给用户和行业带来广泛担忧，伤害到京东金融长期以来积累的用户信赖，我们比谁都觉得不值得，非常懊恼、非常痛心、非常自责。用户信赖是京东金融发展的底线，京东金融也恪守正道成功的商业经营理念，我们绝不会做任何侵害用户权益的事。”京东金融在致歉声明中表示，“这次的失误，是我们在产品开发过程中的技术问题，我们从未想过未经用户授权获取用户图片。这次的跟头摔得很重，但是请大家相信我们，京东金融之前没有、未来也不会私自上传用户图片，并愿意接受权威官方机构的检测。”

　　为彻底打消公众的疑虑，京东金融表示，周一将邀请权威官方机构对京东金融App进行全面的安全性检测，并承诺未来每季度进行权威官方检测，及时公告检测结果。同时下周将邀请包括本次问题发现者“@瘦出的肋骨已经消失的大侠阿木”在内的用户和外部专家、媒体组成信息安全顾问小组，对京东金融App提供的产品和服务进行独立、长期的检查监督，并将定期公布顾问小组的检查结果。