魅族Flyme 再爆漏洞，安全問題困擾“青年良品”

昨晚6點(diǎn)開始，有魅族用戶在魅族官方論壇反應(yīng)Flyme OS系統(tǒng)存在隱私泄露隱患，即同步數(shù)據(jù)時(shí)出現(xiàn)錯亂現(xiàn)象，而這并不是個(gè)例，大量Flyme用戶紛紛在論壇上表示出現(xiàn)了類似情況。

（圖片來源IT之家）

隨后該類問題瞬間刷爆了魅族論壇。用戶反饋的問題如下：

1、同步手機(jī)信息時(shí)，通訊錄、短信、通話記錄以及便簽等內(nèi)容同出現(xiàn)大量陌生信息，這些信息包括陌生聯(lián)系人、各類用戶賬號密碼及銀行卡號等；

2、另外，有的用戶Flyme賬號直接顯示的是陌生號；甚至還有網(wǎng)友表示同步信息后，聯(lián)系人大量離奇消失。

出現(xiàn)這樣的問題后，網(wǎng)友們紛紛調(diào)侃Bugme的稱號非Flyme莫屬，甚至還有不少魅黑趁虛而入。

系統(tǒng)出現(xiàn)Bug本來是不可避免的事，但是讓用戶感到不爽的是，魅族官方?jīng)]有在第一時(shí)間做出回應(yīng)，反倒是在論壇內(nèi)大量刪帖，這引起了廣大網(wǎng)友的吐槽。晚上10點(diǎn)魅族官方首次在論壇上做出了回應(yīng)，承認(rèn)故障確實(shí)存在，并且表示同步異常由程序員的錯誤改動導(dǎo)致，魅族還承諾一個(gè)小時(shí)內(nèi)可以完成修復(fù)。

不過今早魅族修改了該官方貼，宣稱同步異常的只是通話記錄和短信等，便簽和云相冊并沒有受到影響。而且公開透露了異常的起因：由于程序BUG，在多線程的場景中，標(biāo)識錯位引起。而且受影響的賬號數(shù)據(jù)已經(jīng)從今日凌晨1：30開始回檔。

異常時(shí)間線：

8月19日 01：30 受影響賬號，數(shù)據(jù)開始回檔

8月18日 23：53 確認(rèn)修復(fù)方案

8月18日 22：13 發(fā)布第一次公告

8月18日 20：40 確定原因

8月18日 18：30 發(fā)現(xiàn)異常，業(yè)務(wù)緊急降級 ，控制影響

8月18日 18：00 版本發(fā)布

異常現(xiàn)象：

期間，部分用戶的同步數(shù)據(jù)如通話記錄、短信等受到了影響，表現(xiàn)為數(shù)據(jù)錯亂。基本不會對便簽、云相冊造成影響。

異常原因：

由于程序BUG，在多線程的一個(gè)場景中，標(biāo)識錯位引起。

另外，根據(jù)用戶反饋的情況來看，不少用戶是在升級Flyme系統(tǒng)后同步數(shù)據(jù)時(shí)才出現(xiàn)該問題。在魅族修復(fù)該漏洞之前，有熱心網(wǎng)友給出了解決辦法：

第一步：退出賬戶 設(shè)置-賬戶-我的flyme（4.5.4A）-點(diǎn)擊用戶名進(jìn)入個(gè)人中心-退出賬戶
（ps：退出前會檢測當(dāng)前手機(jī)的賬戶數(shù)據(jù)，會彈出 “退出前同步數(shù)據(jù) ”如果不是自己的請選擇退出）

第二步：重新登陸flyme賬戶 設(shè)置-賬戶-我的flyme。

為了免遭隱私被泄露，有用戶表示已經(jīng)刪除了Flyme 云端的所有信息，同時(shí)并Flyme賬號，改用其它云服務(wù)軟件。回顧此次漏洞事件的整個(gè)過程，魅族官方只是發(fā)布了一個(gè)簡短的確認(rèn)異常的通告，并沒有給出任何應(yīng)對方案。盡管，網(wǎng)友紛紛在微博上@魅族科技、@flyme、@楊顏，也都沒有得到正面回應(yīng)，魅族對于用戶安全的漠視再次引起了不滿。事實(shí)上，這已不是魅族Flyme第一次出云安全漏洞。

2012年，F(xiàn)lyme OS 1.1.5也發(fā)現(xiàn)了類似的BUG，例如短信無法同步、信息丟失以及隱私泄露風(fēng)險(xiǎn)。當(dāng)時(shí)有媒體對該版本和Flyme OS 2.0進(jìn)行了測試，除了出現(xiàn)同步出別人的信息外，還有同步失敗導(dǎo)致信息無故刪除的情況。

2014年11月，魅族論壇又因設(shè)計(jì)存在缺陷，導(dǎo)致一系列“盜號事件”，就連CEO 黃章的賬號也未能幸免，并發(fā)布了“大家好，我的賬號被盜了”的帖子。之后，網(wǎng)名為“GLZJIN”的網(wǎng)絡(luò)安全人士便在自己的博客中發(fā)布信息，截圖證明其已“登陸”魅族CEO黃章賬號，并聲稱其發(fā)現(xiàn)魅族存在重大漏洞。

當(dāng)時(shí)國內(nèi)安全網(wǎng)站烏云網(wǎng)公開表示，因?yàn)轺茸逭搲枉茸迨謾C(jī)共用Flyme的賬號系統(tǒng)，只要知道魅族用戶的用戶名或手機(jī)號就可以獲取密碼。當(dāng)時(shí)IDF網(wǎng)絡(luò)安全實(shí)驗(yàn)室聯(lián)合創(chuàng)始人Archer表示，魅族論壇賬號漏洞屬于設(shè)計(jì)缺陷。

3年之內(nèi)，魅族先后3次爆出大規(guī)模漏洞問題，這對于任何一家擁有千萬級用戶的公司來說都是不能容忍的。這樣的情況，除了說明魅族對于用戶安全的漠視程度外，魅族內(nèi)部技術(shù)團(tuán)隊(duì)的整體水平也可見一斑。以至于有用戶在知乎上吐槽，“魅族的程序是由‘內(nèi)部幾百個(gè)美工’寫的”。

目前國內(nèi)手機(jī)戰(zhàn)已經(jīng)從之前單純的拼性能上升到拼服務(wù)、拼生態(tài)環(huán)節(jié)。考慮到魅族只是一個(gè)小廠商（白總原話），想要從眾多手機(jī)品牌中突圍，依靠“青年良品”的品牌定位已經(jīng)沒有太大的差異性了，魅族唯獨(dú)在產(chǎn)品、服務(wù)等方面做到極致才有一點(diǎn)可能性。然而，接二連三的安全事件只會讓魅族被打上更多的負(fù)面標(biāo)簽，從而被粉絲所拋棄（據(jù)筆者觀察，身邊已經(jīng)有多個(gè)“煤油”粉轉(zhuǎn)路人）。“攘外必先安內(nèi)”，國際化大戰(zhàn)略可以先放一邊，在產(chǎn)品和服務(wù)上多用點(diǎn)心，不要辜負(fù)了剩下的煤油的信任。留給魅族的時(shí)間和機(jī)會不多了！

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。