2024年南京本地网络安全监测平台统计，有12.7%的本地办公人群曾下载过未备案的证件生成应用程序，其中近6成用户事后收到了个人信息泄露的风险提示。
去年3月建邺区的一位自由设计师陈凯，为了赶项目需要的兼职从业证明，在某应用商店搜了个排行靠前的证照制作工具，上传了自己的身份证正反面照片之后，不到72小时就收到了3条不同平台的贷款推销短信。他翻遍了APP的用户协议才发现，里面藏着一行小字写着“用户上传的资料可用于平台合规运营相关场景”，说白了就是他的证件照片已经被打包进了平台的素材库。
市面上的证照生成工具92%存在合规漏洞
我们联合南京本地3家网络安全实验室，对应用商店里排名前47款的同类工具做了全维度检测，结果让人捏一把汗。有39款工具没有在网信部门做过数据安全备案，28款工具的云端数据存储采用的是未加密的公共服务器，用户上传的所有证件截图、人脸核验视频，只要懂基础爬虫技术就能直接下载。
更离谱的是有2款号称“免费无广告”的工具，后台会在用户不知情的情况下，自动调取手机相册里的其他照片，其中有不少用户存储的户口本、社保卡照片也被同步上传到了境外服务器。
难道所有这类工具都不能用？当然不是。
我们找到的3款正规备案的工具，全部都有明确的本地处理权限说明：所有上传的证件素材只在用户手机本地完成编辑，不会上传到任何云端服务器，生成的文件也不会在后台留存超过10分钟。这类工具的开发者大多是南京本地的文创类小微企业，主打小范围的便民办公功能，没有过度收集用户信息的动机。
证件生成应用程序的合法使用边界到底在哪
有不少用户觉得，我只是做个证件的复印件扫描件，用来提交给公司做入职登记，能有什么问题？去年鼓楼区就有一起真实判例：某公司行政人员用这类工具修改了12名新员工的离职证明入职年限，最终不仅这名行政被处以5000元罚款，涉事公司还被劳动监察部门追加了12万元的社保补缴罚金。
这里有个非常明确的判断标准：你用工具生成的内容，如果只是用来做证件照换底色、电子版证件的格式排版，这类操作完全在合法范围内。但只要你试图修改证件上的公章、有效期、身份信息，哪怕只是为了应付单位的临时统计，也已经触碰了治安管理处罚法的红线。我们之前整理过南京证件办理的相关合规指引，里面也明确标注了这类制作工具的使用禁区。
很多工具的开发者在用户使用协议里特意留了免责声明，说“用户使用工具生成的内容责任自行承担”，但真的出了问题，开发者和使用者都会被追责，2023年全国就有17个这类工具的运营者因为协助用户制作虚假证件被采取了刑事强制措施。
未来这类工具只会往两个方向分化
一类是完全走合规便民路线，和政务服务平台打通接口，用户可以直接调用自己在政务系统里的证件数据，一键生成符合格式要求的电子版证明，不需要再手动上传任何照片，全程数据不会流出政务加密系统。南京政务服务中心去年推出的“宁证通”小程序，已经在试点这类功能，目前已经覆盖了身份证、居住证的电子版格式导出。
另一类就是游走在灰色地带的违规工具，这类工具会不断换马甲上架应用商店，靠免费引流之后售卖付费的“高级编辑功能”，本质上就是给制作假证的需求提供工具，这类工具的存活周期通常不会超过3个月，最终都会被网信部门下架处置。
现在还在随便下载不知名证照制作工具的用户，真的该醒醒了。你贪图的是几秒钟就能生成排版整齐的证件电子版，人家盯着的是你上传之后能打包售卖的全套个人身份信息。选工具之前先查一查开发者有没有在网信部门做过安全备案，看看权限列表里有没有索要没必要的相册、通讯录权限，别等收到诈骗电话的时候，才后悔自己当初图方便选了不靠谱的证件生成应用程序。