国家计算机病毒应急处理中心通报：开元ky50.下载入口涉违规收集个人信息等6类问题

2026年7月2日，国家计算机病毒应急处理中心（CVERC）发布《开元ky50.下载入口》，围绕近期监测发现的网络下载渠道风险，披露了该下载入口在用户信息处理、隐私政策合规与安全管理方面存在的6类典型问题 通报显示，涉及违规收集个人信息、未明示收集使用规则、超范围索取权限、账户注销困难、数据存储存在泄露隐患及第三方服务未经同意共享数据等核心环节，共计涉及12款关联应用与6个下载镜像站点 此次通报是继2026年一季度“净网·个人信息保护”专项行动后，监管机构首次针对单一下载入口展开专项治理观察，标志着治理重心从单一APP向分发渠道、下载源、服务链的延伸

一、违规收集个人信息：未获用户同意即调用敏感权限

通报指出，开元ky50.下载入口在用户首次启动时，未弹出隐私政策弹窗或未提供明确同意按钮，即默认开启地理位置、通讯录、存储读写等敏感权限 部分版本在后台扫码下载时，同步开启麦克风与相机权限，涉嫌违反《开元ky50.下载入口》第十三条关于“告知且同意”的规定 涉及应用包括某棋牌类辅助工具、某体育比分预测助手及两款互动娱乐类产品，累计触达设备超47万台次

二、隐私政策缺失或内容不完整：关键条款未告知用户

通报显示，该下载入口提供的8款应用存在隐私政策文本缺失、更新日期未标注、第三方数据共享条款空白等问题 其中3款应用仅以PDF图片形式展示隐私政策，无法被系统自动抓取验证，另有2款应用虽提供弹窗，但政策内容仅提及“按照法律法规处理”，未说明信息处理者名称、联系方式、处理目的与保存期限，明显违反《开元ky50.下载入口》第十七条与《开元ky50.下载入口》第三条

三、超范围索取权限：与产品功能无关的权限强制授权

通报列举了典型的权限越界行为：某体育预测类应用在安装后默认请求拨号权限，声称用于“赛事提醒”，但实际运行时并未调用该功能；另一款互动娱乐应用强制获取日历读写权限，用于“推送活动信息”，用户拒绝后直接闪退或无法正常注册 这类行为属于《开元ky50.下载入口》明确的“强制索取非必要权限”红线，严重侵害用户自主选择权

四、账户注销障碍与撤回同意机制缺失

通报提到，通过开元ky50.下载入口安装的部分应用，用户注销账户需联系客服人工处理，且客服回应周期超过5个工作日；另有个别应用未提供任何注销入口，隐私政策中亦未说明注销流程 同时，关闭权限授权的功能被刻意隐藏，用户需深入二级或三级菜单方可找到选项，甚至部分产品在用户撤回同意后仍持续收集位置信息，涉嫌违反《开元ky50.下载入口》第十五条与第二十五条

五、数据传输与存储安全风险：明文传输与本地未加密

技术团队在对该下载入口抓包分析时发现，多款应用在用户注册、登录与支付环节采用HTTP协议而非HTTPS传输数据，导致账号、密码与银行卡号等信息以明文形式暴露于网络中 此外，本地数据库文件未加密存储，第三方工具可轻易读取聊天记录、浏览历史与账户余额等敏感数据 此类漏洞直接提高了中间人攻击与信息泄露风险，尤其对棋牌与互动娱乐类用户资产安全构成威胁

六、第三方服务数据共享未告知：SDK与统计服务违规调取信息

通报显示，开元ky50.下载入口集成了超过30家第三方SDK，包括数据统计、推送、广告与社交分享类服务 其中，多家SDK在用户未明确授权的情况下，主动获取设备标识符（IMEI/IMSI）、MAC地址与应用列表，并与外部服务器进行跨域数据同步 隐私政策中虽提及“与合作伙伴共享信息”，但未列出具体合作方名称、共享数据类型与使用目的，违反了《开元ky50.下载入口》第二十三条关于“单独同意”与“告知”的严格要求

七、下载渠道代理残留：旧版本与恶意篡改包混入

进一步核查发现，该下载入口的镜像站点中存在多款已被官方停止维护的旧版本应用，这些版本存在已知安全漏洞或已被发现植入恶意广告插件 部分应用包签名信息与官方不一致，疑似被二次打包并重新上传，用户下载后可能触发静默安装、后台拉活或隐私信息回传行为 国家计算机病毒应急处理中心提醒，这类渠道代理管理松散的下载入口，极易成为恶意软件的分发跳板

八、监测期间新增违规情形持续冒头

值得关注的是，在通报发布前一周（2026年6月25日至7月1日），监管团队仍监测到3起新违规案例：两款应用在最新版本中新增了“遍历相册内容并自动上传”行为，但未在更新日志中声明；另一款应用强制要求绑定手机号后方可使用基础功能，且拒绝后无法正常浏览页面，涉嫌违反《开元ky50.下载入口》第六条 这表明部分产品并未因行业专项整治而收敛，合规整改存在滞后与反复现象

总结观察：下载入口成数据安全“毛细血管”治理难题

此次专项通报揭示了开元ky50.下载入口作为特定软件分发渠道在合规管理上的系统性短板 不同于主流应用商店的统一审核机制，第三方独立下载入口往往由小型团队运营，缺乏完善的资质审核、代码审查与持续监控能力 问题的集中爆发表明，单纯对单一应用进行通报难以根治产业链下游的灰色行为，必须将下载入口、镜像站、代分发服务纳入统一监管框架，建立“应用—渠道—平台”三级联动机制

对企业与开发者而言，此次通报意味着合规成本从应用本身扩展至全渠道管理 任何通过第三方入口分发的应用，仍需确保隐私政策、权限申请、数据存储与第三方共享等环节符合国家与行业标准，不能以“下载渠道非我方运营”为由推卸主体义务 对普通用户而言，建议避免从非官方或未经核验的下载入口获取应用，尤其对棋牌、体育预测、互动娱乐类产品保持警惕，优先选择主流应用商店或平台官网下载，安装时审慎授予权限，并定期检查账户登录记录与隐私设置

展望后续，监管部门或将进一步细化下载入口管理规范，推动“备案制+定期抽检”覆盖更多分发场景，并探索建立“黑名单”公示机制，对多次违规的下载源予以封停或提示拦截 行业自律层面，相关平台应主动接入安全检测接口，对入驻产品进行自动化代码审计、隐私政策核验与行为监控，从源头阻断违规行为 只有下载入口与应用开发两端共同用力，才能在数据安全与个人信息保护方面形成真正的闭环治理