В приложениях для каршеринга и аренды самокатов нашли более 400 уязвимостей

В российских приложениях для аренды автомобилей и самокатов нашли более 400 уязвимостей, которые создают риск утечки данных пользователей. Из них 25 — высокого уровня критичности. Об этом представитель компании Appsec Solutions, которая разрабатывает ПО для автоматизации задач выявления и устранения критических ошибок и уязвимостей, рассказал «Ведомостям».

Appsec Solutions проанализировала 13 «наиболее популярных» приложений для каршеринга и аренды самокатов. О каких конкретно идет речь, он не уточнил. Но добавил, что часть приложений в открытом виде хранит чувствительные данные — фото паспортов, банковские карты и геолокацию. А в некоторых сервисах нет механизмов защиты от использования приложения на скомпрометированных устройствах. Опасность в том, что приложения собирают большой массив данных о клиентах, включая водительские права, платежные и персональные данные.

У «Делимобиля» персональные данные пользователей хранятся вне мобильного приложения и защищены современными средствами кибербезопасности, говорит директор по IT компании Александр Белотуркин. У «Ситидрайва» информация о пользователях хранится в зашифрованном виде на российских серверах, а утечек персональных данных не было.

Архитектура мобильных приложений усложняется, код растет растет, как и количество ошибок, а еще компании используют библиотеки с открытым исходным кодом и сокращают время тестирования, чтобы быстрее выпускать новые функции, объяснил говорит руководитель ИБ-направления «Телеком биржи» Александр Блезнеков. А еще компании увольняют опытных разработчиков и берут вместо них более дешевых специалистов, которые пишут код с помощью ИИ, говорит директор по продуктам Servicepipe Михаил Хлебунов.

Уязвимости в приложениях могут привести не только к утечкам данных, но теоретически и к вмешательству в работу устройств, предупредил директор департамента расследований T.Hunter Игорь Бедеров. Но массовые утечки через клиентскую часть приложений маловероятны, обычно злоумышленники взламывают серверы или используют инсайдеров, добавил автор продукта Solar Appscreener Даниил Чернов.