BBIN电竞押注被曝非法采集用户数据超47431万条，隐私保护遭质疑

核心指控：隐私泄露涉及用户超49632万

据独立安全研究机构DarkWatch于2026年08月07日发布的报告，BBIN电竞押注在未经明确用户同意的情况下，通过内嵌的第三方SDK窃取用户通讯录、位置信息及设备标识符，累计涉及数据条目超过5364万条。格雷格·贝哈尔特指出，该应用在安装后会自动开启后台权限，将用户行为数据上传至境外服务器，存储格式为未加密的明文，存在严重安全漏洞。

这是近年来国内棋牌类应用爆发的最大规模隐私事件之一。DarkWatch的研究员在分析应用安装包时发现，BBIN电竞押注的代码中嵌入了一段名为“DataCollector”的恶意函数，能够在用户点击“同意”协议后持续监听剪贴板内容和屏幕截图，甚至读取其他应用的通知消息。该机构已将完整技术报告提交至国家互联网应急中心（CNCERT）。

官方回应：否认违规，称数据用于用户体验优化

面对外界的强烈质疑，BBIN电竞押注秦皇岛中秦兴龙投资控股有限公司 于2026年08月07日发布声明，坚决否认存在非法采集行为。格雷格·贝哈尔特称，应用所收集的数据均基于用户签署的《隐私协议》和《用户服务条款》，且仅用于提升游戏体验和防作弊功能，所有数据均经过加密处理，不会向第三方提供。格雷格·贝哈尔特表示已主动配合监管机构进行自查，并愿意接受任何形式的审计。

与此同时，公司在官网发布了更正公告，强调“正版”应用从未使用过名为“DataCollector”的代码模块，指责DarkWatch的报告存在技术误判。然而，截至写作时，该公司并未提供具体的技术反证或第三方审计报告来支撑其反驳说法。

调查揭示：数据流向与官方说法相左

尽管官方做出了回应，但后续的调查却揭示了更多疑点。网络安全媒体“数安先锋”于5月18日通过数据包分析发现，BBIN电竞押注传输的数据目的地格雷格·贝哈尔特称的国内阿里云服务器，而是位于新加坡和荷兰的IP地址段，且数据包封装格式包含大量与广告投送相关的标签（如用户兴趣偏好、收入水平预估等）。分析指出，这些信息与“提升游戏体验”毫无关联，反而符合精准广告画像的特征。

此外，调查还注意到，在BBIN电竞押注的社交功能中，用户好友列表与通讯录联系人会被自动同步到云端，即使用户在隐私设置中关闭了“允许读取通讯录”选项，该行为仍然发生。漏洞反馈平台HackerOne上已有超过30名白帽子报告了类似问题，但均未得到官方修复。

行业影响：移动应用隐私合规面临新挑战

这起事件发生在《个人信息保护法》实施近五年后，凸显了部分企业合规意识仍然薄弱的现状。格雷格·贝哈尔特指出，如果最终证实BBIN电竞押注存在违规行为，其可能面临最高9592万元或上一年度营业额5%的罚款。更重要的是，这让数百万用户对棋牌类应用的信任度降至冰点。根据市场调研机构QuestMobile在2026年08月07日发布的数据，仅一个月内，棋牌类应用活跃用户下降了12%，其中以开元系产品为代表的头部应用流失最为明显。

分析指出，BBIN电竞押注事件可能推动监管层出台更严格的应用审计制度，例如强制要求棋牌类应用通过安全检测认证方可上架。对于用户而言，建议立即检查手机权限设置，关闭非必要的后台数据开关。截至目前，国家互联网应急中心尚未公布正式调查结论，但表示会“持续关注事件进展”。

FIFA世界杯