39% приложений для iOS и Android сохраняют данные в открытом виде

Исследовательская компания viaForensics совместно с компанией appWatchdog решили выяснить насколько популярные приложения для платформ iOS и Android из различных категорий смогут обеспечить надлежащий уровень безопасности персональных данных пользователей. В результате оказалось, что 39% приложений не обеспечивают надлежащий уровень безопасности данных.

За последние несколько лет мобильные устройства стали неизбежной частью нашей жизни, делая возможным доступ к различным интернет-сервисам и службам не имея под рукой компьютера, подключенного к сети. На сегодняшний момент бесспорными лидерами этого рынка являются разработки компаний Apple и Google. Однако, эта популярность имеет и обратную сторону. Помимо обычных потребителей, она также привлекают и внимание киберпреступников. Их целью является добыча конфиденциальных данных пользователей.

В исследовании принимали участие 100 наиболее популярных приложений для обеих операционных систем iOS и Android. Все программы были разбиты по категориям: финансовые (приложения для доступа к онлайн банку и прочим сервисам), социальные сети (приложения для Facebook, Twitter и пр.), ретейл (онлайн магазины) и функциональные приложения (доступ к почтовым сервисам и пр.). Полный список всех протестированных программ приведен здесь.

Тестирование проводилось в течение месяца. Основная задача исследования состояла в том, чтобы выявить наиболее уязвимые приложения с точки зрения конфиденциальности данных и ответить на вопрос: сохраняются ли данные в открытом виде или они все-таки шифруются так, что их невозможно восстановить?

Все приложения были загружены на телефон через официальные торговые площадки производителей iTunes App Store и Android Market.

В результате оказалось, что 39% приложений не обеспечивают надлежащий уровень безопасности данных. То есть конфиденциальные данные, такие как логин, пароль, номера банковских счетов, конфиденциальная переписка, сохраняются в памяти устройства в открытом виде и могут быть без труда восстановлены заинтересованной стороной. Для них был установлен маркер – «тест не пройден». 44% прошли тест частично, то есть в случае использования данных программ пользователь должен тщательно следить за тем, какие данные он ввел, а также за журналом частной переписки, списком контактов. Эти записи были сохранены в открытом виде. И только в 17% приложениях можно быть уверенным, что в случае, кражи, утери или хакерской атаки никакая информация не будет доступна злоумышленнику. Эти программы надежно скрывают введенные данные шифруя их, либо вовсе не сохраняют в памяти устройства.

По мнению управляющего корпоративными продажами компании G Data Software в России и СНГ Алексея Демина, пользователи всегда сами решают, какую информацию они хотят вводить в приложение для смартфона, а какую нет. При этом они должны осознавать, что эти данные не могут находиться в полной безопасности, так как телефон может быть утерян или украден, атакован вирусам-шпионами или другой категорией вредоносов. «Меня особенно удивляет то, что пользователи социальных сетей рассчитывают на полную безопасность их личной переписки, фотографий и информации, которая «скрыта» в профайле. Подождите, но это все находится в открытом доступе, практически как те заветные «ключи от квартиры, где деньги лежат». Здесь уже никакое шифрование не поможет», - заметил он.

Г-н Демин также подчеркнул, что не стоит забывать, как каким бы высокотехнологичным ни было устройство, его создают обычные люди, а поэтому оно не совершенно.  Для элементарной защиты хорошо бы использовать не только обновленное решение для безопасности, но и главное оружие против преступников - собственную голову.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фишеры использовали уязвимость на сайтах American Express and Snapchat

Веб-сайты American Express и Snapchat содержали уязвимости, связанные с открытыми редиректами (Open Redirect). Эти бреши использовались в недавних фишинговых атаках на пользователей Microsoft 365.

Проблемы класса Open Redirect существуют из-за того, что затронутые веб-ресурсы не проводят корректную валидацию пользовательского ввода. В этом случае условный злоумышленник может управлять URL для перенаправления пользователя на вредоносные сайты.

Поскольку подготовленная фишером ссылка содержит имя легитимного домена, пользователь вряд ли заподозрит неладное. Тем не менее доверенный домен задействуется исключительно в качестве посадочной страницы.

С середины мая по конец июля специалисты компании Inky зафиксировали около 7000 фишинговых писем, отправленных с аккаунтов злоумышленников и пытающихся эксплуатировать уязвимость сайта snapchat[.]com.

В конце июля около двух тысяч аналогичных писем задействовали такую же брешь, но на сайте americanexpress[.]com.

«В случае с обоими эксплойтами злоумышленники включали персональную информацию в URL, чтобы “на лету“ кастомизировать посадочные страницы под конкретную жертву», — объясняют специалисты Inky.

ПДн в ссылках шифровались, чтобы это всё выглядело как набор случайных символов. Вредоносные письма маскировались под уведомления от DocuSign, FedEx и Microsoft. 4 августа информация об уязвимости поступила представителям Snapchat, однако проблема до сих пор не устранена.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru