前情摘要

金融机构移动App承载账户、资金、征信、身份等高度敏感个人金融信息，业务开发过程中，为快速实现推送、统计、风控、埋点等能力，大量引入第三方SDK、开源组件。很多金融机构存在一个认知误区：SDK是第三方开发，风险责任也属于供应商。但在政策及相关管理办法认定逻辑中，App运营主体需要对集成的全部代码全权负责。

近年，不少安全事件的问题根源并非金融机构自研业务代码，而是App集成的第三方SDK与开源组件存在安全缺陷：组件高危漏洞、代码逻辑缺陷、恶意风险逻辑等，极易被攻击者利用，进而造成金融业务逻辑被劫持、账户信息泄露、业务遭受攻击破坏等。对于金融行业而言，移动应用供应链安全风险已然成为移动安全治理中不可忽视的首要挑战。

第三方SDK典型风险场景拆解

1、高危代码漏洞，引发数据窃取风险

第三方SDK内部存在组件漏洞、Intent重定向、导出组件等缺陷，攻击者可利用漏洞劫持App运行逻辑，越权读取用户手机号、身份证、账户资产等敏感金融数据。这类风险隐蔽性极强，SDK代码打包并入最终安装包，不会在项目源码清单中直观展示，常规代码评审很难发现。

2、违规隐私采集，触碰合规红线

部分第三方SDK在后台静默申请通讯录、位置、相册等非必要敏感权限，在用户不知情场景下采集、上传个人信息；SDK数据传输链路缺乏加密，存在明文传输个人金融信息行为，违反个人信息保护相关规范。

3、开源组件投毒与依赖链风险

SDK自身依赖大量开源组件，一旦底层开源库爆出漏洞，风险会沿供应链向上传导；部分SDK存在代码后门、恶意埋点，金融机构引入时未做成分识别，上线后才发现隐藏恶意代码。

4、版本管理缺失，风险长期遗留

金融机构对引入SDK缺少台账管理，不清楚App内集成多少款SDK、供应商是谁、版本号、能力边界；SDK发布新版本、漏洞预警时，无法快速定位受影响App，漏洞长期得不到修复，形成持续性安全隐患。

行业规范要求：第三方组件必须纳入安全管控

根据国家金融监督管理总局相关指引要求，金融机构须对移动应用SDK、第三方组件开展全流程安全风险管理，建立SDK测试验证与上架评估机制；八部门联合印发、9月30日起施行的《金融产品网络营销管理办法》，进一步明确金融机构对SDK营销链路的主体合规责任，也是三季度金融App自查、监管抽查的核心依据。

配套行业标准《个人金融信息保护技术规范》、《信息安全技术 个人信息安全规范》等进一步明确：

• 引入第三方SDK、组件前，开展安全评估与个人信息安全影响评估；

• 遵循最小必要原则，SDK权限、信息收集范围不得超出业务必需；

• 建立第三方组件台账，实施准入、持续监测、退出全生命周期管理；

• App上线、版本迭代，必须完成SDK安全与隐私合规检测，留存检测报告。

如何兜底，如何规范？

第三方SDK与开源组件的治理不是一次性检测，而是全生命周期管控。金融机构可从六大维度开展SDK与组件安全自查：

• 资产盘点：梳理全部移动App，识别App内集成的全部SDK、开源组件，建立供应链台账，记录SDK名称、服务商、版本、用途、数据采集行为。
  

• 安全漏洞自查：对SDK进行漏洞扫描，检查组件导出、代码注入、逆向风险、加密缺陷、恶意代码等安全隐患。
  

• 隐私合规自查：核验SDK权限申请、敏感信息采集行为，核查隐私政策描述是否与SDK实际行为保持一致，检查数据传输存储是否加密。
  

• 版本变更管控：SDK升级、新增、替换时，必须触发安全复测，禁止未经安全测试直接打包上线。
  

• 持续监测：建立常态化检测机制，定期复测存量App，跟踪SDK漏洞预警，及时处置高危风险。
  

• 供应商管理：对SDK服务商开展安全能力评估，合同明确数据安全责任边界，定期复核第三方服务商安全能力。

痛点

当前，金融行业移动应用的安全与合规环境日趋复杂，安全合规已从“可选项”上升为企业经营必须守住的底线。然而，企业虽有意加强移动应用的自查自纠，却普遍受制于对安全合规政策标准熟悉程度低、缺乏专业团队支撑的困境，难以将合规要求有效转化为可落地的安全能力，风险敞口长期存在。

梆梆安全 保护您的软件

面对金融机构在App供应链安全、应用安全及个人信息合规方面的多重自查难题，梆梆安全依托应用安全测评平台，以及移动应用合规平台+个人信息隐私合规评估服务组合能力，为金融客户打造兼顾应用安全、组件风险治理与隐私合规的一体化解决方案。

1、应用安全测评平台

借助梆梆安全应用安全测评平台可覆盖Android、iOS、鸿蒙、小程序以及Android/iOS SDK等对象，通过静态扫描与动态检测相结合的方式，全方位排查金融App程序安全、配置安全、通信安全、本地数据存储安全，精准识别第三方SDK、开源组件带来的供应链漏洞、恶意代码、逆向风险等安全隐患，输出代码级修复指引，支撑金融App版本上线安全把关、存量应用安全普查、供应链资产梳理，筑牢金融移动应用的底层安全防线。

2、移动应用合规平台+个人信息隐私合规评估服务

依托梆梆安全移动应用合规平台+个人信息隐私合规评估服务，平台内置9000+可自定义扩充的SDK识别库，支持多终端检测，通过定制沙箱捕获App及内嵌SDK敏感行为，可灵活配置检测模式、规则与报告模板。同时，梆梆安全采用自动化检测+人工复核模式，对标金融、网安及个保相关标准开展深度检测，输出证据与风险研判，配套整改解读答疑，排查合规问题、核验SDK带来的金融数据泄露风险，帮助金融机构实现第三方组件风险可识别、可检测、可整改，化解供应链安全隐患。

图：移动应用合规平台

在供应链攻击日趋隐蔽的当下，第三方SDK的安全与合规已不再是“可选加分项”，而是移动应用管理的底线要求。梆梆安全以专业的移动应用安全检测与合规检测能力，助力金融机构看清SDK风险、管住供应链信任，在数字化转型中筑牢移动应用的安全根基。

下期预告

下一期将聚焦AI驱动下的移动金融新型攻击与App安全防护挑战。通过拆解AI辅助恶意代码生成、仿冒金融App、自动化攻击等典型威胁，为银行及金融机构提供可落地的移动应用安全防护思路。