Специалисты по информационной безопасности выявили свыше 400 различных уязвимостей в наиболее востребованных мобильных приложениях для проката автомобилей и электросамокатов среди отечественных пользователей.
Эксперты компании Appsec Solutions предупредили, что многие из обнаруженных недостатков позволяют посторонним лицам получать доступ к персональной информации, представляющей особую ценность.
Среди выявленных нарушений особо выделяются критические угрозы, количество которых достигло отметки в 25 случаев. Такие недостатки открывают возможность несанкционированного проникновения в защищенную зону приложений, предоставляя злоумышленникам доступ к таким важным данным, как:
- Изображениям документов, необходимых для подтверждения личности и права управления транспортным средством;
- Банковским реквизитам, связанным с оплатой услуг сервиса;
- Деталям перемещения пользователей посредством системы GPS-трекинга.
Большинство указанных приложений распространяются через крупные цифровые площадки — App Store, RuStore и Google Play, охватывая широкую аудиторию пользователей по всей стране.
Главные проблемы, отмеченные специалистами, включают следующие аспекты:
- Недостаточная защита хранимых данных: некоторые важные сведения хранятся открыто, без надлежащей криптографической обработки;
- Невозможность противостоять использованию нелегальных версий ОС Android и iOS («джейлбрейк»), позволяющих обойти встроенные механизмы защиты приложений;
- Наличие багов в исходном коде, облегчающих проведение вредоносных действий против инфраструктуры самих сервисов и конечных пользователей.
На сегодняшний день указанные приложения собирают внушительные объемы чувствительной информации, необходимой для проверки потенциальных арендаторов транспортных средств. В частности, каршеринг-сервисы запрашивают фото паспорта и удостоверения водителя, тогда как прокат самокатов фиксирует маршруты передвижения пользователей, используемые для контроля соблюдения правил дорожного движения.
При возможностях хищения такой информации существенно возрастает вероятность злоупотреблений со стороны третьих лиц, вплоть до попыток вымогательства и проведения финансовых махинаций.
Для минимизации рисков специалисты предлагают пользователям следовать ряду рекомендаций:
- Устанавливать исключительно официальные версии приложений и своевременно обновляться до последних выпусков, поскольку разработчики часто устраняют подобные уязвимости именно в новых релизах;
- Включать дополнительную защиту аккаунта путем активации двухэтапной авторизации там, где это возможно;
- Быть осторожнее при подключении к публичным сетям Wi-Fi, так как такие подключения увеличивают риски компрометации учетных записей и передачи личной информации третьим сторонам.
Компания-разработчик методов анализа цифровых платформ уже сообщила владельцам пострадавших приложений обо всех обнаруженных проблемах. Разработчики планируют оперативно выпустить необходимые исправления, исключающие потенциальные нарушения конфиденциальности.
