Gmail開後門 百萬用戶信件看光光
社群網站臉書洩漏用戶個資鬧得滿城風雨，Google旗下電子郵件服務Gmail也被踢爆開後門，讓第三方軟體開發商檢閱數百萬用戶的收件匣內容，用戶隱私蕩然無存。
Google一年前曾說，將不再用旗下電腦掃描Gmail用戶收件匣，為個人化廣告蒐集資訊。Google當時表示，希望用戶「對Google竭盡所能維護隱私和安全保有信心」。
但華爾街日報訪談數十名電郵相關程式開發與資料公司的在職與前任員工發現，Google持續讓數百家外部軟體開發商，掃描數百萬註冊使用購物比價、自動化旅遊規劃等郵件相關服務的Gmail用戶收件匣。這些開發商訓練電腦甚至人工閱覽Gmail用戶郵件，Google卻疏於管理。
其中一家開發商名為Return Path。這家公司掃描超過200萬的用戶收件匣，為行銷商蒐集個資。這些用戶是透過Gmail、微軟（Microsoft）或雅虎（Yahoo ）的電郵服務，註冊使用Return Path夥伴網絡任一款免費應用程式。
掃描工作一般交由電腦，每天分析約1億封郵件。知情人士透露，兩年前左右，Return Path員工為協助訓練公司軟體，曾閱覽約8000封原始郵件。
另一家Gmail開發商Edison Software的執行長柏納（Mikael Berner）坦承，員工曾為公司閱覽和整理電郵的行動應用程式開發新功能，人工檢閱數百名用戶的郵件。
Return Path的競爭對手eDataSource前技術長羅德（Thede Loder）表示，讓員工閱覽用戶郵件，對蒐集這類資料的公司來說有如家常便飯。他說，eDataSource工程師編寫和改進軟體演算法時，偶爾會檢閱郵件，「有些人可能覺得這是見不得人的秘密，但現實就是如此。」
Return Path或Edison都未明確詢問用戶他們能否閱覽郵件，但兩家公司都說，使用者協議涵蓋這項行為，他們對有權閱覽用戶郵件的員工制定嚴格規範。
Google的開發商協議，明文禁止在未經用戶明確同意的情況下，讓其他任何人接觸用戶個人資料。Google制定的規則，也禁止程式開發商製作用戶個資副本，並存在資料庫中。但多家開發商表示，Google沒有認真落實相關規定。
Google表示，只將資料提供給審核通過的外部開發商，而且用戶必須明確同意，開發商才有郵件存取權。Google在書面聲明中說，只有在用戶要求並許可的特殊情況下，如調查程式錯誤或違規情形，Google員工才會閱覽用戶郵件。
但報導指出，外部開發商能自由處理用戶個資顯示，Google與其他科技巨擘即使宣稱加強保護隱私，暗地裡仍開後門給監督規範不同的其他廠商。
臉書（Facebook）多年來讓外部開發商取得用戶個資，今年東窗事發，重創臉書形象。目前沒有跡象顯示，Return Path、Edison和其他Gmail外掛程式開發商像臉書那樣濫用個資，但隱私維權人士和許多科技業高層表示，開放郵件資料存取權，恐釀成類似臉書的個資外洩風暴。
對想把個資用於行銷和其他用途的企業來說，取道電子郵件深具吸引力，因為電郵包含購物史、旅遊行程、財務紀錄和個人通訊。資料探勘公司常在未敘明個資蒐集種類和用途的情況下，利用免費程式和服務，引誘用戶開放收件匣的存取權限。
根據市場研究公司comScore，Gmail擁有14億用戶；全球電郵活躍使用者中，將近2/3擁有Gmail帳戶。
Google 承認第三方 App 開發者可以閱讀私人用戶的 Gmail 郵件，而且還是使用者允許的！
在 Facebook 爆發劍橋分析事件後，大眾對於自己儲存於網路上的資料，多少都有了可能會在自己不知情的狀況下，個資遭到外洩的警覺意識。然而，電子郵件服務（E-Mail）已經是人類生活中不可或缺的重要部分，但那些儲存於網路上私人電子郵件，例如 Gmail，難道就真的只有用戶本身可以存取嗎？
根據華爾街日報的報導，藉由適當的 App 權限開放，Google 允許第三方開發者存取數以百萬計 Gmail 用戶的電子郵件資料，包含收件人地址、時間戳記甚至於整個郵件內容。更可怕的是，批准第三方 App 存取電子郵件的人，其實就是 Gmail 用戶本身。
如果對手機權限有點概念的人，應該都能理解在安裝 App 時，仔細閱讀權限要求是非常重要的一件事。那些會讀取 Gmail 收件匣的 App，也是在安裝時跳出提示，希望使用者給予存取 Gmail 帳戶的權限。
只不過，與一般大眾認知有所差距的關鍵點在於，當使用者給予 App 讀取 Gmail 的權限時，該第三方 App 背後的開發者，也就是人類，其實也能夠閱覽用戶 Gmail 收信匣，並不僅限於機器之間的資訊交換。如此「不明確」的權限提示，就變成了隱私安全的一大漏洞。
如果你曾經看過如同圖片中權限請求畫面，並且按下了允許的話，你很有可能已經將 Gmail 的完整讀取權限，開放給了人類開發者。面對第三方 App 開發者能夠完整存取用戶的 Gmail 電子郵件內容，Google 表示，他們其實有一套審查機制，不會讓任何開發者都有權力向用戶要求權限。這套審查過程十分嚴謹，包含調查該應用程式開發者的背景，並檢查該 App 是否符合隱私權政策的規定；Google 甚至會更進一步審視開發者會將收集的資料拿來進行何種用途，最後確認該 App 是否有明確表達出「會讀取用戶 Gmail」的提示。
除了第三方開發者之外，Google 告訴華爾街日報，該公司內部員工其實也有權限閱覽用戶的 Gmail 電子郵件內容，但僅限於「非常特定的情況」，例如安全理由、漏洞調查或濫用行為。
然而允許第三方 App 開發者存取電子郵件的問題，也不只發生在 Gmail 身上。從較知名的 Salesforce 、Microsoft Office，到那些鮮為人知電子郵件 App，都有可能向使用者要求讀取 Gmail 收件匣的權限。
華爾街日報採訪了兩間通過 Google 審查，「值得信任」的電子郵件服務公司 Return Path 和 Edison Software。這兩家公司都有權限存取上千個私人的 Gmail 帳戶，並由人類工程師因開發演算法、廣告行銷等機會，去閱覽非常隱密的電子郵件。
儘管如同 Return Path 和 Edison Software 一樣，絕大多數電子郵件服務公司都有嚴密的隱私政策，保障這些電子郵件的內容不會外流，但還是令人有所疑慮。
對於某些電子郵件服務提供商，如 Return Path，他們可以透過讀取用戶的 Gmail，收集數據來增進演算法，甚至做為行銷之用。雖然到目前為止，沒有任何證據表明第三方 App 開發人員利用這些資料進行不正當的行為，但能夠查看和閱讀私人的電子郵件，這樣的行為似乎侵犯了用戶了基本隱私權。
由於我們無法確定 Google 的審查系統夠不夠完整、安全，所以最好的方法還是斷開不信任的第三方 App，避免不肖的開發者存取私人的電子郵件，讀者可以點擊這裡管理自己的 Google 帳戶權限，並在未來安裝新的 App 時，多加注意程式的權限要求，是否有不合理之處。
Google重申不會讀取Gmail用戶信件，嚴控外部app存取內容
媒體報導Google讓上百家app開發商存取用戶Gmail郵件內容，引起軒然大波。雖然Google第一時間已經澄清，不過周三Google還是不厭其煩重申，並不會隨便讓app業者這麼做，而Google自己也沒有偷看用戶信件。
相較於本周以口頭回覆媒體詢問，周三Google則以官方部落格說明，Google之所以讓外部app，如郵件用戶端軟體、客戶關係管理（CRM）及行程安排軟體整合Gmail，是為了讓用戶更方便收發郵件。但是有一套嚴格、多階段的審查流程來確保企業及消費者隱私。
對於所有非Google的app申請存取Gmail郵件，Google的審查流程包括對開發商實行自動化及人工審查、評估app的隱私政策及首頁確保app符合規定，並以app內驗證機制確保app運作名實符合。Google Cloud信任與隱私方案總監Suzanne Frey指出，這些審查的目的是為了確保符合二大要求，一是廠商精準描述自己是做什麼，以及清楚說明用戶個資的用途。二是他們只能蒐集特定功能必需的資料，不能毫無限制蒐集個資。
她表示Google開放外部app存取API是為了使用者方便，Google並沒有向app廠商收取費用，Google的營收是來自銷售企業版服務G Suite及廣告，但是Gmail內的個人化廣告是根據使用者線上活動紀錄，也非依據掃瞄用戶郵件內容而成。
另外之前報導指出Google內部員工也可讀取用戶Gmail郵件，Google指這是Google自動化處理引發的誤會。Frey強調該公司內絕沒有人可以讀取用戶信件，唯二例外是用戶提出要求並表達同意，以及出於安全理由，如調查臭蟲或濫用，才會這麼做。
雖然Google為用戶把關，但Google「強烈建議」消費者自己也應多留心。在這些app蒐集用戶個資前，Google都會秀出同意對話框，清楚告知app蒐集你什麼個資、用途為何。為免自己無意中同意被蒐集個資，安裝app前應張大眼睛讀一下內容。
使用者如果想知道有哪些外部app已經存取Google服務（如Gmail、Google 行事曆和聯絡人）的資料，可以上安全設定檢查頁檢視，也可以直接移除存取權。
