​《2023年移动应用安全观测报告》：高危应用占比76.89%，安全问题不容忽视

《2023年移动应用安全观测报告》：高危应用占比76.89%，安全问题不容忽视

前言

随着智能手机和平板电脑等移动设备用户数量的剧增，移动应用的数量和种类亦在不断膨胀，加速了数字化转型的步伐。然而，伴随着这一增长的是移动应用安全形势的日益严峻。我们见证了恶意软件的猖獗、数据泄露事件的频发以及隐私侵犯问题的严重性，这些不仅威胁到广大个人用户的信息安全，也会对企业的数据资产构成潜在的风险。

为了深入剖析复杂且多变的安全环境，并为所有监管机构、企业、开发者提供参考，爱加密和中国电信研究院依托其专业的技术团队，利用我们在大数据分析和移动安全领域的专业知识，精心编撰了《2023 年全国移动应用安全观测报告》。

报告全文较长将分为 2 篇文章发布，可于文末获取全文。

全国移动互联网应用概况

全国移动互联网应用总量综合情况  

截至 2023 年，移动应用安全大数据平台收录全国 Android 应用共计 453 万款，iOS 应用共计 295 万款，微信公众号 621 万个，微信小程序 360 万个。2023 年年度，全国总计更新及新上架的应用共计 27 万款。

近三年全国总量综合情况（单位：万）

全国活跃移动互联网应用功能类型分布情况

截至到 2023 年 12 月 31 日，全国活跃应用总计 7 万款。从功能类型来看，游戏类应用活跃度较高，占全国活跃应用总量的 27%，位居第一，近三年对比，游戏应用远低于以往两年；生活实用类应用数量占全国活跃应用的 16%，位居第二；办公学习类应用数量占全国活跃应用的 12%，位居第三。

全国活跃应用功能分类情况

漏洞风险概况

各等级风险漏洞情况

移动应用大数据平台利用安全检测引擎对有更新的应用，进行 140 项漏洞扫描。检查结果显示：有高达 76.89% 的应用被识别为高危应用。这个比例相比于过去两年有了 2.02% 的小幅增长。数据表明，尽管我们在技术和安全措施上有所进步，但高危漏洞在移动互联网应用中的存在仍然是一个严重的问题，因为它意味着我们的个人信息、财务信息和其他重要数据可能会因为这些漏洞而受到威胁。

Android 应用不同风险等级漏洞的应用占比

各风险漏洞类型应用排行情况

截至 2023 年 12 月 31 日，全国 351 万款 Android 应用通过移动应用安全平台进行风险检测，有高危漏洞的应用约 239 万款，占应用总数的 76.89%。

本年度排名前三的漏洞分别是："Janus 漏洞 "、" 截屏攻击风险 "、" 未移除有风险的 WebView 系统隐藏接口漏洞 "。

存在漏洞较多的移动应用更加容易受到攻击，造成用户隐私泄露或直接的财产损失，应用运营者 / 开发者应采取安全加固等有效措施，防范和应对网络攻击，保障系统安全平稳运行。详见下图：

Android 应用漏洞类型排行

各功能类型存在高危风险漏洞的应用排行情况

我们发现某些类型的应用存在高危漏洞的风险特别高。具体来看，主题壁纸类应用其存在高危漏洞的应用数量占到了我们检测总量的 92.0%，紧随其后的是拍摄美化类应用，存在高危漏洞的应用数量占检测总量的 88.4%。第三名是系统工具类应用，高危漏洞的应用数量占检测总量的 86.9%。

与过去两年的数据相比，2023 年移动应用存在的高危漏洞比例总体上超过了 80%，这一趋势表明移动应用的安全问题仍然十分严峻。当移动应用存在漏洞时，它们很可能成为攻击者的目标。攻击者可以利用这些漏洞进行恶意攻击，不仅可能导致用户数据的泄露，还可能篡改数据，给用户带来严重的隐私和财产损失。

存在高危漏洞风险的应用功能类型占比 TOP10

植入恶意程序情况概况

近年来，移动互联网应用植入恶意程序的情况近年来呈现出增长的趋势，这些恶意程序可能会窃取用户的个人信息、破坏系统、恶意扣费、弹出广告等，对移动用户的个人信息及财产安全带来巨大的威胁。

主要恶意程序风险描述

截至 2023 年 12 月，全国累计含有恶意程序的应用 29 万款，其中恶意程序类型以 " 流氓行为 " 为主，这些恶意程序主要存在对移动用户的隐私数据收集、恶意扣费、流量资源消耗、系统破坏和广告推送等多种恶意行为，对移动用户的个人信息及财产安全带来巨大的威胁。详见下图：

恶意程序类型统计表

恶意应用功能类型分布情况

从功能类型来看，游戏应用类存在恶意应用的数量占全国恶意应用总量的 49.66%，位居第一，远超其他类型应用。这类恶意软件可能会以广告软件的形式出现，通过弹窗广告干扰用户，或者更糟糕的是，利用用户浏览器的漏洞进行偷渡式下载，安装恶意程序到用户的设备上，模仿流行游戏的恶意软件和不需要的软件；详情见下图：

恶意应用功能类型分布 TOP10

盗版 / 仿冒情况分析

仿冒盗版应用的猖獗会危害正版软件市场的发展和创新，给真正的开发运营者带来名誉及利益损害。2023 年，中国信息通信研究院推行 App 签名服务系统，用户可以通过应用签名和验证识别正版应用，从而避免下载和使用未经认证的应用可能带来的风险。

盗版 / 仿冒应用功能类型分布情况

针对有更新的应用进行盗版 / 仿冒检测，检测结果统计显示疑似盗版仿冒的应用共计 14 万款，从应用功能类型分布来看，排名前三的功能类型为：游戏类、生活实用类、影音播放类。

盗版 / 仿冒应用功能类型分布 TOP10

技术安全保护措施

未采取技术安全保护措施的应用占比情况

对全国移动应用中未采取技术安全保护措施的应用（即未加固应用）情况进行统计，已采取技术安全保护措施的应用总计 40 万款，占 8.94%，未采取技术安全保护措施的应用占总量的 91.06%。应用如果不进行技术安全保护措施会无法确保应用安全，无法防止被破解、二次打包、恶意篡改等。近三年未采取技术安全保护措施的应用占比变化如下：

近三年未采取技术安全保护措施的应用占比

建议开发者、服务提供商以及相关政策制定者加强对移动应用安全性的关注。特别是对于未采取安全措施的应用，应进行详细的风险评估，并采取适当的安全加固措施。此外，用户也应提高对应用安全性的认识，选择那些已采取安全措施的应用进行下载和使用。

未采取技术安全保护措施的应用功能类型分布情况

通过对未采取技术安全保护措施的应用功能类型进行统计发现，游戏类未采取技术安全保护措施应用占该类型应用总量的 91.64%，排名第一。游戏类应用通常涉及用户的互动和虚拟财产交易，如果没有适当的安全措施，它们容易成为黑客攻击的目标。黑客可以通过植入恶意代码来窃取用户数据，或者通过篡改游戏内的支付渠道来实施诈骗。此外，未经授权的第三方也可能通过插入广告代码来篡改游戏内容，不仅损害了玩家的游戏体验，也侵蚀了开发者的收益。详见下图：

未采取技术安全保护措施应用功能类型分布 TOP10

爱加密移动应用安全加固平台可为开发者提供全面的移动应用安全加固技术，包括 Android 应用加固、iOS 加固、游戏应用加固、H5 文件加固、微信小程序加固、SDK 加固和源对源混淆加固技术等技术，从根本上解决移动应用的安全缺陷和风险，使加固后的移动应用具备防逆向分析、防二次打包、防动态调试、防进程注入、防数据篡改等安全保护能力。

产品拥有五大优势：

加固包增量小：加密后包增量大小不超过原包 " ± 5%"。

兼容性好：加固包兼容性高达 99%，实现 ART 全面兼容。

全面的移动应用安全加固技术：支持 Android 应用加固、iOS 应用加固、游戏应用加固、H5 文件加固、Android SDK 加固、so 文件加固。

高效的性能，节约时间：应用加固时间短，可即时获取加固后的应用。

无人工操作，节约成本：全自动一键操作，无需专业的安全技术人员参与，大幅降低人力开销及技术学习成本。

本文仅摘选《2023 全国移动应用安全观测报告》部分内容

访问嘶吼报告专题中 " 厂商报告 "，可免费获得本报告全文：https://www.4hou.com/new-report-other-info