大多数 iPhone 或 Android 用户习惯性地授予应用完全访问相册的权限。然而，最近一份安全报告显示，已经有恶意应用利用这一点，专门分析用户相册中的敏感截图，从中获取有价值的信息。
根据卡巴斯基的报告，这是首次在 App Store 中发现包含用于读取截图内容代码的恶意软件。
这款被称为 "SparkCat" 的恶意应用具备 OCR（字符识别）功能，能够提取 iPhone 用户截图中的敏感信息，这些应用主要针对加密货币钱包的恢复短语。
据悉，这些应用中包含的恶意模块使用了 Google 的 ML Kit 库开发的 OCR 插件，能够识别 iPhone 相册中图片的文字内容。一旦检测到与加密货币钱包相关的截图，就将图片发送到攻击者控制的服务器。
卡巴斯基指出，SparkCat 自 2024 年 3 月左右开始活跃。类似的恶意软件早在 2023 年就已在 Android 和 PC 平台上出现，如今扩展到了 iOS 设备，尤其针对欧洲和亚洲的用户。
卡巴斯基在 App Store 中发现了多个带有 OCR 间谍功能的应用，包括 ComeCome、WeTink 和 AnyGPT。但目前尚不清楚这些感染是开发者的“有意行为”还是“供应链攻击”导致的。
虽然这些恶意应用主要针对加密货币信息，但卡巴斯基警告称，其灵活的功能设计也可能用来窃取其他敏感数据，比如截图中记录的密码等。因此建议用户不要在相册中存储包含敏感信息的截图，以降低风险。
如何防范恶意应用？即便 App Store 审核流程足够严苛，也无法完全杜绝恶意应用的上架（这在任何应用市场中都难以避免）。
作为 iPhone 用户，除了远离不可靠的冷门应用、避免在相册中保存机密信息的图片外，还可以充分利用 iOS 系统提供的权限管理功能来保护隐私。
从 iOS 14 开始，苹果引入了更精细化的相册权限设置，用户可以根据需求选择以下三种权限：
无：应用无法访问相册中的任何内容。受限访问：仅允许应用访问用户手动选择的照片。完全访问：允许应用访问相册中的所有照片。对于不需要相册权限的应用，建议直接禁止其访问；而对于一些不知名的冷门应用，如果确实需要相册权限，也建议设置为“受限访问”，只允许其访问指定的照片。
至于大厂出品的知名应用，一般不会出现上述恶意行为。如果你对隐私要求不高，为了图方便，可以选择允许其完全访问相册。
但如果你非常注重隐私保护，仍需留意这些 App 的相关设置。例如某短视频应用的设置中就有一项「识别分析相册内容」的功能且默认开启。
如果你特别关注隐私问题的话，则建议关闭此类分析相册的功能，或者直接对应用设置“受限访问”相册。
总之在如今这个时代，数据安全无法做到绝对无懈可击：恶意应用想方设法窃取信息，一些知名应用也可能对用户隐私过度分析。我们大家能做的，就是用好 iOS/Android 权限管理，尽可能减少潜在风险。
