Android app 幾億下載都唔代表安全：VPN、來電辨識同密碼管理要咁睇
高下載量只證明多人裝過，唔等於值得信晒
下載量唔係信任分
Android Authority 作者 Pankil Shah 6 月 20 日出咗篇文章，話 Play Store 上面嘅下載量好容易呃到人：Turbo VPN、LastPass、Truecaller、CCleaner、AVG AntiVirus & Security 呢類名熟、數字大嘅 app，唔代表裝落手機就穩陣。呢個 take 值得講，因為 Play Store 嘅「500M+」「1B+」其實係歷史成績表，反映早入場、廣告投放、預載、免費策略，同安全審計冇直接關係。你部 Android 手機而家放住銀行 app、電子錢包、一次性密碼、相簿同通訊錄，揀錯高權限 app，代價可以好實際。
圖片：Wikimedia Commons — Kaartic（CC BY-SA 4.0）
真正要睇係權限同商業模式
我唔建議當呢件事係「見到名單就即刻刪 app」。比較準嘅睇法係：有啲類型天生要你交出好核心嘅資料。VPN 會接管流量，來電辨識想準就要碰你嘅 contacts、通話紀錄甚至 SMS，密碼管理器管住登入資料，防毒同清理工具又成日要求掃檔案、通知、無障礙服務。權限同功能唔對稱，就要停一停。Google Play 嘅 Data safety 有用，但 Google 自己都講，資料安全欄位主要由開發者申報；App permissions 係另一套技術清單，兩邊未必完全同一件事。
VPN：免費同無限流量，最要睇清楚點賺錢
VPN 最易令人中伏，因為 marketing 通常都係「保護私隱」「公共 Wi-Fi 必備」。FTC 嘅講法好直接：用 VPN app 時，手機流量會先經 VPN 供應商嘅 server；佢可以幫你避開同一個 Wi-Fi 上面嘅偷睇，但唔會令你匿名，好多時係將信任由 ISP 搬去 VPN 公司。免費、無限流量、廣告多嘅 VPN 特別要問清楚點賺錢，私隱政策有冇講分享資料畀廣告或分析伙伴，app 又有冇要求 SMS、通話紀錄、位置呢啲唔合理權限。
密碼管理器同 caller ID，唔係普通工具
密碼管理器仍然值得用，尤其你唔想每個網站都用同一組 password。不過呢類 app 唔可以只睇牌子熟唔熟；LastPass 2022 年事件入面，公司自己披露攻擊者複製咗客戶 vault backup，入面有冇加密嘅網站 URL 同加密咗嘅登入欄位。密碼管理器照用，但揀嗰陣要嚴格過普通工具：公開安全文件、第三方 audit、匯出方案、2FA 支援，同出事時回應夠唔夠清楚都要睇。Caller ID 亦相似，Truecaller 呢類服務靠龐大資料庫先準；如果 app 要 contacts、通話紀錄、短訊權限，你畀出去嘅往往唔止自己資料。
防毒同清理 app，有時只係重複 Android 已有功能
防毒同清理工具就要分清場景。Google Play Protect 預設會掃 Play Store app，亦會檢查其他來源裝入嘅 app，發現可疑行為可以警告、停用，甚至移除；Google 2025 年安全回顧亦話，佢哋擴大咗加強版詐騙防護，擋咗 2.66 億次高風險安裝嘗試。普通用法下，如果你主要喺 Play Store 裝 app、系統同 app 有自動更新，又冇亂開 APK，第三方防毒未必幫到好多。至於清理 app，Android 已經有儲存空間、電量、流動數據用量管理，Files by Google 又有清理功能；為咗「一鍵加速」交檔案同使用紀錄權限，唔多抵。
裝之前，用三個問題篩走大部分風險
實際做法可以好簡單。第一，睇權限：VPN 唔應該要短訊，清理 app 唔應該要 contacts，來電辨識如果要全套通話資料，就要接受呢個交換先好裝。第二，睇 Data safety 同私隱政策：資料會唔會分享、可唔可以刪除、開發者係邊間公司、過往有冇大型事故。第三，裝咗都要定期收權限；Android 可以喺設定入面逐項睇相機、咪高峰、位置、contacts、通知有邊啲 app 用緊，耐冇用就刪，唔好淨係由 icon 記唔記得嚟決定。
下載量可以參考，唔好當保證
今次原文有價值嘅地方係提醒大家：高下載量 app 最麻煩嘅地方，往往係佢睇落太正常。安全 app、私隱 app、優化 app 通常會攞好多權限，遠多過遊戲或者天氣 app，亦較容易用「保護你」包裝資料收集。下次裝呢類 app，先問功能係咪 Android 已經做到，再問權限值唔值，最後先睇評分同下載量。
參考來源
- Android Authority — As an Android expert, here are 5 popular apps I don’t recommend downloading — original report
- Understand app privacy & security practices with Google Play's Data safety section — 解釋 Play Store Data safety 同 App permissions 分別，支撐文中檢查方法。
- Provide information for Google Play's Data safety section — Google 對開發者申報 Data safety 嘅要求，確認欄位主要由開發者提供。
- Use Google Play Protect to help keep your apps safe & your data private — Google 官方講明 Play Protect 會掃 app、警告、停用或移除可疑 app。
- In the market for a VPN app? — FTC 解釋 VPN app 會經供應商 server 處理流量，私隱係信任搬位。
- 12-22-2022: Notice of Security Incident — LastPass 官方披露 2022 年事件，包含 vault backup 同資料類型。
- TRUECALLER PRIVACY POLICY — Truecaller 官方私隱政策，配合 caller ID 類 app 資料收集背景。
- Keeping Google Play & Android app ecosystems safe in 2025 — Google 官方 2025 年 Play/Android 生態安全回顧，補 Play Protect 同詐騙防護背景。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
