首页科技快讯 TrueCaller，价值10亿美元的“数据窃取”帝国（一）

TrueCaller，价值10亿美元的“数据窃取”帝国（一）

来源：晰数塔互联网快讯时间：2022年04月08日 14:09

神译局是36氪旗下编译团队，关注科技、商业、职场、生活等领域，重点介绍国外的新技术、新观点、新风向。

编者按：在数字经济和智能设备高度发达的今天，整个世界是互联的，但随其而来的是一个极容易被人忽视却至关重要的问题——个人数据安全和隐私问题。在印度，一款叫做“真实来电”（TrueCaller）的来电显示应用风靡全国，这个来电显示自带神效，不仅可以显示陌生来电者的姓名、职业、来自哪个地方，甚至其前雇主的名字也众目具瞻。更可怕的是，这款应用竟然还可以根据个人设备上的财务数据推送贷款广告和理财方案。这个应用来自瑞典，却为何在印度成为下载量占其全球总量三分之一的热门软件？接下来为你揭秘。因篇幅原因，文章分为两部分刊出，此为第一部分。本文来自编译。

划重点：

Truecaller在印度虽然取得了巨大的成功，但这种成功实际上相当可疑，根基并不稳固。

Truecaller的大部分数据集都是在未经用户同意的情况下完成收集的，这一成就之所以成为可能，是因为印度缺乏围绕数据保护的、全面的法律框架。

该公司目前的业务，可能还涉及为注册用户建立一份完整的财务档案。

你手机中的每一个联系人都将成为Truecaller数据库的一部分，该数据库包括那些未注册或未同意将其号码识别出来的用户。

这是一种众所周知的“同意疲劳”现象。

只要有人用他的电子邮件登录网站，他的联系人就会被上传到Truecaller的服务器上。

Truecaller实际上是从你的联系人那里收集你的个人数据，然后在未经你同意的情况下使用这些数据的。

2021年10月，我给一位驻巴基斯坦的记者打了电话，我们互相并不认识，但令人惊讶的是，他们在接到电话时竟然叫了我的名字。当我问他们怎么知道我的名字时，他们发送了一张屏幕截图，截图来自他们手机上的Truecaller应用程序（译者注：Truecaller是一款智能防骚扰拨号通讯应用。世界上最大的验证手机社区，有2.5亿用户。支持显示来电信息，自动识别用户通讯录之外的未知来电，阻止骚扰电话、营销来电和垃圾短信）。这个来电显示截图上有我的名字，我前雇主的名字，我在前公司的职位，我所在的州，以及我使用的移动运营商的名字。这位记者告诉我，他们最近在一款安卓手机上从谷歌应用商店中下载了Truecaller应用。

这位记者说，我的手机识别出是你，我甚至知道你这个号码是在WhatsApp上注册的。他们给我发了另一张截图，是Truecaller发送的通知，上面说我的号码在WhatsApp上注册。我很震惊，因为我从来没有在这个号码上使用过Truecaller，也没有在使用的任何设备上下载过这个应用程序。由此看来，Truecaller和谷歌在使用或显示我的私人号码时从未征得我的同意。

Truecaller由瑞典True Software Scandinavia公司开发，该公司于2009年由Nami Zarringhalam和Alan Mamedi创立。Mamedi是库尔德人后裔，出生在瑞典北部的一个难民营，Zarringhalam三岁时从德黑兰移居瑞典，两人现在都是瑞典公民。

Truecaller的官网上写到：“当我们的联合创始人还是学生时，他们就开始了这款应用的设计和研发，他们想创建一款能够轻松识别未知号码来电的服务。”Truecaller还表明，这款应用是“来电显示和垃圾邮件拦截的首选应用。”2021年10月8日，该公司在斯德哥尔摩纳斯达克上市。根据Crunchbase（译者注：Crunchbase2007年在美国旧金山创立，是覆盖初创公司及投资机构生态的企业服务数据库公司）的数据，该公司在8轮融资中总共筹集了9860万美元，其中Zenith Venture Capital、Atomico（译者注：是一家位于伦敦的风投公司，主要投资位于欧洲发展最迅速的科技中心，尤其是伦敦、斯德哥尔摩、赫尔辛基和柏林中的初创公司。）和红杉资本印度公司（Sequoia Capital India）是主要投资方。

该网站称，截至2021年3月，这款应用的下载量已超过5.81亿次。印度的下载量占据了总下载量的三分之一以上，它的数据库拥有惊人的57亿个不同的手机身份。该公司总部设在斯德哥尔摩，但其大部分员工是印度人。这并不奇怪：根据该公司的数据，在175个国家超过2.78亿的月活跃用户（MAUs）中，仅印度就有2.05亿用户，这使印度成为该公司最大的市场。

尽管印度是一个巨大且利润丰厚的技术创新市场，但The Caravan长达数周的调查显示，Truecaller在印度虽然取得了巨大的成功，但这种成功实际上相当可疑，根基并不稳固。我们采访了在该公司工作了五年多的前高级员工、专攻隐私法的律师和政策研究智库的专家，他们透露，Truecaller的大部分数据集都是在未经用户同意的情况下完成收集的，这一成就之所以成为可能，是因为印度缺乏围绕数据保护的、全面的法律框架。The Caravan的调查显示，该公司目前的业务，可能还涉及为注册用户建立一份完整的财务档案。

在给The Caravan的一系列书面回复中，Truecaller坚称，它提供的是一项“以隐私为中心的服务”，“承诺保持透明，并遵守运营国家的法律。”但是，就像律师Prasanna S（这位律师专门研究隐私问题，而且是程序员出身）告诉The Caravan杂志的那样，“他们的做法在某种程度上是正确的，因为这样做可能不会违反法律。”然而，侵犯隐私是一种可起诉的错误行为，他们的行为，在未经对方同意的情况下向另外的乙方透露个人身份信息，肯定是一种侵犯隐私的行为。”他补充说，这“是Truecaller的传统业务，已运营已久。Truecaller的运用场景实际上是这样的，你的联系人可以收集你的个人数据，然后在未经你同意的情况下使用这些数据。”鉴于议会尚未通过2018年首次提出的《个人数据保护法案》，Prasanna说：“如果有隐私保护的话，那也是最低限度的。”

在2017年K.S. Puttaswamy诉印度联邦（Union of India）案的裁决中，最高法院认为，根据《宪法》第14条、第19条和第21条，隐私权是一项基本权利。然而，五年过去了，政府仍然在审议数据保护法案，尽管经过了几次迭代——一次比一次更具争议。这一法律漏洞使得印度公民容易受到政府机构和私营公司的监控、监视和数据挖掘。

Truecaller的数据库是通过四个主要来源建立的：应用程序的下载；国外白黄页不受隐私顾虑限制；与公开显示数字的社交媒体平台合作；应用程序编程接口（APIs）和软件开发工具包（SDKs）的免费认证。The Caravan采访过的Truecaller前员工称，与那些未经本人同意就被添加到Truecaller数据库的用户相比，同意将自己的电话号码识别并添加到Truecaller数据库的用户数量微不足道。

尼日利亚科技刊物TechCabal在一份详细的报告中指出，一旦用户注册或下载Truecaller，就会出现一种相互交换的动态。如果你想使用来电显示功能和应用程序的其他功能，那么你必须放弃手机联系人方面的隐私，这样其他用户才能使用相同的功能。你手机中的每一个联系人都将成为Truecaller数据库的一部分，该数据库包括那些未注册或未同意将其号码识别出来的用户。

由于Truecaller已经在寻求注册用户的批准，以将其联系人列表在数据库中，这个动作使其从未面临过法律诉讼。Truecaller的发言人告诉The Caravan，该公司为人们提供自愿分享联系人的选项，这有助于提高算法的准确性。

我与大约一百个印度Truecaller用户建立了历时三个月的联系沟通，发现大多数人是由于文本的复杂性和协议的文本长度等原因，从而不分青红皂白地点击“我同意”分享联系人与该公司签约。这是一种众所周知的“同意疲劳”现象。大多数用户甚至没有意识到，他们通讯录中的每个电话号码在Truecaller数据库中都已成为一个“注册电话身份”。

此外，很多用户也没有直接从谷歌或苹果商店下载这款Truecaller应用程序，而是使用预装了该应用程序的设备，如Micromax、三星和Wileyfox的一些型号设备。在这种情况下，大多数用户都允许共享他们联系人的姓名、号码、谷歌ID和电子邮件地址，因为一个名为“增强搜索”的功能会自动检查。该公司在其网站上也默认批准了这项功能，并在其隐私政策中提到了这一功能。

这位前雇员说，“增强搜索”功能只不过是终端用户自动同意将同步的联系人上传到他们的电子邮件帐户。他们告诉The Caravan：“登录页面清楚地表明，通过检查增强的搜索选项，你将与Truecaller分享你的联系人。”“只要有人用他的电子邮件登录网站，他的联系人就会被上传到Truecaller的服务器上。”

由于每个人都会根据方便程度来保存电话号码，Truecaller算法会将个人保存的联系方式上传。例如，如果有人将一个垃圾电话号码保存为“chor ka phone mat uthaiyo”——当这个号码打来电话时不要接听——它将被列在Truecaller的数据库中以进行全球识别。

“Truecaller受到谷歌和苹果商店指南的限制，所以并不能从他们的用户那里直接下载电话本，但是他们在预装的应用和共享的apk（Android安装包）上不遵守这样的规则，”这位前员工，曾经也就职于Truecaller的数据质量部门，告诉The Caravan，“所以，如果你被列入Truecaller的任何一个注册用户的电话簿，你的隐私已经在未经同意的情况下被泄露了，你的电话号码——可能带有你的职业身份——已经准备好被全世界看到了。”

根据Truecaller的招股说明书和对The Caravan的声明，Truecaller还为应用开发者提供免费的API和SDK认证。SDK和认证服务免费提供给应用开发者，表面上是“为了Truecaller用户的利益”，它使应用开发者可以快速而轻松地吸引新用户，前提是这些开发者也是Truecaller的用户。它减少了典型的新入职流程的时间和摩擦，而根据惯例，新入职流程依赖于未接来电或OTP。”SDK通过制造通话中断支持对未注册客户进行用户验证 — 通过用户号码在后台制造通话中断来完成验证流程。这里需要指出的是，由于缺乏严格的隐私法律，目前只有印度才有这种选择。这位前员工说：“也正是因为这个原因，有时候打电话的人会给对方起奇怪的名字，比如‘德里-waale chacha’或‘Pinky parlor waali’。”“这些联系人并不知道他们的姓名和职业身份是在未经自己同意的情况下被Truecalle收集的。”

Truecaller的一名发言人证实，该公司正在与应用程序开发者共享姓名和经过验证的电话号码，但表示这并不违反谷歌准则。该发言人表示：“除了姓名和truecaller验证的号码外，其他数据并未与应用开发商共享。”“这并没有违反谷歌的准则。谷歌也为应用开发者提供过类似的服务。”该公司还称：“截止招股说明书发布之日，Truecaller用户的登录请求已超过12亿次，登录次数超过7.45亿次。Truecaller大约23%的业务客户来自现有的API SDK合作伙伴。”

令人惊讶的是，该公司并没有采取任何措施征求数十亿电话号码拥有者的同意，而是通过第三方API悄无声息地建立其庞大的数据库。

根据Truecaller自己的数据，它共有57亿个手机身份；自2014年以来，每一个下载和注册的用户中，大约有1 / 2仍然是月活跃用户。这意味着该公司目前拥有超过2.78亿月活跃用户，拥有大约5亿未经同意的用户身份。即使考虑到其他三种数据来源，Truecaller的全部数据库似乎也不太可能有超过三分之一的用户同意被识别并添加到该公司的数据库中。

Truecaller庞大的数据库引发了一个问题：该公司正在利用这个数据库做什么？The Caravan的调查揭示了一种可能性：该公司可能正在为注册用户建立一份完整的财务档案。

“短信主要处理银行交易，任何人都可以试图获取数以百万计的Truecaller用户的财务信息，并窃取这些信息。”

译者：Vivi