Самые уязвимые мобильные приложения — сервисы доставки и онлайн-аптеки

Самые уязвимые мобильные приложения — сервисы доставки и онлайн-аптеки

Самые уязвимые мобильные приложения — сервисы доставки и онлайн-аптеки

Центр цифровой экспертизы Роскачества и группа компаний «Солар» проверили почти 70 популярных мобильных приложений — сервисы доставки еды, онлайн-аптеки, маркетплейсы, магазины электроники и DIY. Результаты оказались тревожными: в каждом втором приложении найдены уязвимости, которые позволяют злоумышленникам перехватывать данные пользователей и выполнять атаки «человек посередине» (MITM).

Исследование охватило приложения с рейтингом выше 4 звёзд и более чем 500 тысячами скачиваний. В выборку попали сервисы, которыми пользуются сотни миллионов россиян — от 50 млн клиентов служб доставки до 72 млн покупателей электроники и техники.

Большинство проверенных приложений работало под Android. Анализ проводился с помощью модуля SAST из состава Solar appScreener, использующего автоматический бинарный анализ — без реверс-инжиниринга.

Эксперты выделили пять основных категорий уязвимостей:

  • Обращение к DNS-серверам без защиты — встречается почти во всех приложениях. Такая ошибка позволяет хакерам перенаправлять трафик на поддельные серверы и похищать логины, пароли и токены авторизации.
  • Небезопасная рефлексия — открывает злоумышленнику доступ к внутренним функциям приложения и позволяет выполнять произвольный код.
  • Неправильная реализация SSL — делает возможной подмену сертификатов и перехват данных даже через HTTPS. Особенно часто эта уязвимость встречается в онлайн-аптеках (93%) и сервисах доставки (75%).
  • Слабые алгоритмы хеширования — например, использование MD5 без соли, что позволяет легко восстановить пароли из утекших баз.
  • Передача данных по HTTP вместо HTTPS — даёт возможность перехватить трафик и получить токены авторизации.

«Мошенники и хакеры значительно продвинулись в технологиях обмана пользователей. Сегодня важна не только цифровая грамотность, но и здоровое недоверие к любым входящим коммуникациям», — отметил Сергей Кузьменко, руководитель Центра цифровой экспертизы Роскачества.

«Выявленные уязвимости открывают хакерам лёгкий доступ к личной и финансовой информации миллионов пользователей», — добавил Владимир Высоцкий, руководитель развития бизнеса Solar appScreener.

Эксперты призывают компании усилить контроль безопасности мобильных приложений и не полагаться на высокий рейтинг в магазинах — он не гарантирует защищённости.

Подпишитесь на новости

Meta* проверят на соблюдение закона об онлайн-безопасности в Британии

Исчезающие фотографии исчезают, а вопросы к их безопасности остаются. Британский регулятор Ofcom начал расследование в отношении Meta (корпорация Meta признана экстремистской и запрещена в России): ведомство выяснит, достаточно ли компания оценила риски перед запуском Instagram (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России) Instants.

Как сообщил сам Ofcom, проверка касается соблюдения Online Safety Act. Регулятора интересуют угрозы распространения незаконного контента и риски для несовершеннолетних. Нарушение пока не установлено.

Функция Instants появилась в мае 2026 года и позволяет обмениваться изображениями, которые пропадают после просмотра. По британским правилам, перед существенными изменениями платформы компания должна обновить оценку рисков. Сначала разобраться, как новая функция может навредить пользователям, и только затем запускать.

Ofcom теперь проверит, была ли эта работа выполнена надлежащим образом. Ведомство сначала соберет доказательства, а при выявлении нарушения направит предварительное решение Meta. Компания сможет ответить на выводы до окончательного вердикта.

Если нарушение подтвердится, регулятор вправе потребовать исправлений и назначить штраф — до 18 млн фунтов или 10% соответствующей мировой выручки, в зависимости от того, какая сумма больше.

Meta заявила, что анализировала риски и общалась с Ofcom до запуска. По словам компании, в Instants предусмотрены запрет пересылки и защитные настройки подростковых аккаунтов. Теперь регулятору предстоит выяснить, достаточно ли этих мер и предшествующей оценки.

* Meta признана экстремистской организацией, ее деятельность запрещена в России

RSS: Новости на портале Anti-Malware.ru