Около 1900 приложений для Android и iOS хардкодят учётные данные AWS

Около 1900 приложений для Android и iOS хардкодят учётные данные AWS

Около 1900 приложений для Android и iOS хардкодят учётные данные AWS

Специалисты по кибербезопасности бьют тревогу: разработчики приложений для мобильных устройств используют небезопасные методы, раскрывающие учётные данные Amazon Web Services (AWS). Такие практики ставят в зону риска цепочки поставок.

Речь идёт об учётных данных, жёстко заданных в коде софта. В теории киберпреступники могут воспользоваться ими для доступа к частным базам данных, что приведёт к утечкам и раскрытию ПДн конечных пользователей.

О проблеме рассказали специалисты команды Symantec Threat Hunting, которые нашли в общей сложности 1859 приложений, содержащих жёстко заданные в коде логины и пароли AWS. Из этих приложений только 37 были разработаны для Android, а все остальные — для iOS.

Приблизительно 77% выявленных программ содержали также актуальные AWS-токены, которые можно использовать для прямого доступа к частным облачным сервисам. Кроме того, 874 приложения раскрывали и другие токены, с помощью которых злоумышленники могут добраться до баз данных с миллионами записей.

Таким образом, условный атакующий получает доступ к информации об аккаунте пользователя, логам, внутренним коммуникациям, данным о регистрации и другим конфиденциальным сведениям (в зависимости от типа уязвимого приложения).

Исследователи из Symantec Threat Hunting привели три характерных примера такой небезопасной разработки. Первый — B2B-организация, предоставляющая услуги связи около 15 тыс. компаний. Разработчики давали клиентам набор средств разработки (SDK) для доступа к сервисам. В SDK были AWS-ключи, которые раскрывали все данные клиента.

Другой пример — SDK, используемый рядом банковских приложений для iOS и обеспечивающий идентификацию и аутентификацию. В нём содержались актуальные учётные данные, что раскрывало имена, даты рождения и даже цифровые отпечатки клиентов в облаке.

Последним ярким примером стала платформа из области ставок на спорт, которая использовалась при разработке 16 приложений для азартных игр. Этот софт раскрывал всю инфраструктуру и открывал доступ к облачным сервисам с правами администратора на запись и чтение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

С 1 июля усилен контроль за переводами между картами в России

С 1 июля вступили в силу поправки в Налоговый кодекс, ужесточающие контроль за операциями с банковскими картами. Под особое внимание могут попасть переводы крупных сумм — например, при покупке автомобиля или оплате дорогостоящих услуг вроде туристических поездок.

Как отметила в комментарии «Российской газете» председатель Ассоциации бухгалтеров Северной столицы Светлана Лебедева, теперь банки обязаны передавать в Росфинмониторинг информацию о движении средств и закрытии счетов не только юридических лиц и ИП, но и всех клиентов — включая физлиц.

Также, по словам Лебедевой, в поле зрения контролирующих органов могут попасть регулярные поступления на банковскую карту. Речь может идти об неофициальной зарплате, арендных платежах или оплате товаров и услуг без регистрации в качестве самозанятого.

Заведующий лабораторией доверенного искусственного интеллекта РТУ МИРЭА Юрий Силаев в беседе с RT порекомендовал избегать переводов на суммы, существенно превышающие среднемесячный доход:

«Регулярные переводы разным людям, особенно малознакомым, могут быть расценены как незаконная предпринимательская деятельность. Также не стоит напрямую переводить деньги за дорогостоящие покупки — автомобили, недвижимость, туры. В таких случаях безопаснее использовать безналичный расчёт с оформлением договора».

Силаев добавил, что настороженность, как правило, вызывают только те операции, которые выбиваются из привычной финансовой активности. К числу «безопасных» относятся покупки товаров, оплата услуг и переводы на небольшие суммы в адрес близких через ограниченное число банков и официальные платёжные системы.

По словам Лебедевой, новые меры — часть более широкой стратегии по борьбе с финансовыми преступлениями, включая мошенничество и дроппинг (помощь в обналичивании чужих средств), который недавно стал уголовно наказуем. Ещё одна цель изменений — повышение налоговой дисциплины.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru