关于软件拉新推广的合法性及信息泄露风险，结论如下：

1. 软件拉新推广的合法性
   软件拉新推广本身是合法的商业行为，但需满足以下条件：

   • 合规手段：推广方式需符合《中华人民共和国广告法》《中华人民共和国反不正当竞争法》等规定，禁止通过虚假宣传、恶意刷量、诱导下载等不正当手段拉新。例如，若推广中虚构用户评价或使用机器人刷量，可能构成虚假宣传或破坏市场秩序，面临行政处罚（如罚款、停业整顿）或民事赔偿。
     
   • 用户知情权：推广过程中需明确告知用户软件功能、数据收集范围及用途，并获得用户同意。若未履行告知义务或隐瞒关键信息，可能违反《中华人民共和国个人信息保护法》（以下简称《个保法》）第十四条，需承担民事侵权责任或行政处罚。
     
   • 特殊行业限制：若软件涉及金融、医疗等敏感领域，还需遵守行业专项法规（如《网络借贷信息中介机构业务活动管理暂行办法》），否则可能构成非法经营。

2. 软件拉新推广中的信息泄露风险
   信息泄露风险主要取决于软件运营方的数据保护措施及合规性，具体分为以下情形：

   • 合法推广下的低风险：若软件运营方严格遵守《个保法》要求（如采取加密技术、匿名化处理、定期安全审计等），且仅收集与推广目的直接相关的最小必要信息（如手机号、设备标识），则信息泄露风险较低。
     
   • 违规推广下的高风险：若运营方存在以下行为，信息泄露风险显著增加：
     
     • 超范围收集信息：例如，推广中要求用户提供身份证号、银行卡号等非必要信息，违反《个保法》第六条“最小必要原则”，可能被认定为非法收集个人信息。
       
     • 未履行安全义务：若未对用户数据进行加密存储或未建立访问权限控制，导致数据被内部人员窃取或外部黑客攻击，需根据《个保法》第五十一条承担行政责任（如警告、罚款）或民事赔偿。
       
     • 非法共享或出售数据：若将用户信息提供给第三方用于其他商业目的（如精准营销），需单独获得用户同意（《个保法》第十三条），否则可能构成侵犯公民个人信息罪（《刑法》第二百五十三条之一），最高可处七年有期徒刑。

法律建议：

• 对用户：

  1. 下载软件前仔细阅读隐私政策，确认信息收集范围及用途；
     
  2. 拒绝提供非必要个人信息，对过度索权行为可向网信部门投诉（12321网络不良与垃圾信息举报受理中心）；
     
  3. 若发现信息泄露，可依据《个保法》第六十九条要求运营方赔偿损失（计算公式：损失金额=实际经济损失+精神损害抚慰金，后者需法院酌情判定）。
     

• 对运营方：

  1. 制定合规的隐私政策，明确告知用户数据收集、使用、共享规则；
     
  2. 采用技术手段（如加密、脱敏）保障数据安全，定期进行安全评估；
     
  3. 避免将用户信息用于推广目的以外的场景，如需共享需单独获得用户同意。
     

典型案例参考：

• 某APP因未告知用户收集通讯录信息，被网信办依据《个保法》第六十六条罚款50万元；
  
• 某推广公司因非法购买用户手机号用于拉新，负责人被以侵犯公民个人信息罪判处有期徒刑三年。
  

如有进一步疑问，可直接向我咨询具体场景下的合规方案。