Уязвленное приложение: почти 90% мобильных сервисов можно взломать

Почти каждое мобильное приложение (89%) уязвимо к удаленным хакерским атакам, причем более трети из них — в зоне повышенного риска взлома. К такому выводу пришли эксперты компании Positive Technologies (специализируется на кибербезопасности) в исследовании угроз мобильным приложениям за 2019 год (есть у «Известий»). Способы хищения достаточно разнообразны — например, вирусное ПО может отслеживать манипуляции пользователя с клавиатурой или делать снимки экрана во время запуска банковского приложения. Полностью защитить смартфон от заражения практически невозможно, уверены опрошенные «Известиями» эксперты. Для того чтобы усилить безопасность, необходимо своевременно обновлять приложения и внимательно следить за запрашиваемыми правами доступа к той или иной информации.

Неуязвимых нет

Уязвимости высокого уровня риска обнаружены в 38% мобильных приложений для iOS и в 43% приложений для платформ под управлением Android, пишут аналитики Positive Technologies. Это означает, что атака на такие сервисы не вызовет у хакеров существенных сложностей, в результате чего они смогут достаточно свободно использовать приложение в своих целях. При этом в 89% случаев физический доступ к устройству не требуется — внедриться в смартфон они могут удаленно.

Общая практически для всех мобильных сервисов проблема — это небезопасное хранение данных, в результате чего под угрозу попадают пароли, финансовая информация, персональные данные и частная переписка пользователей, сказал «Известиям» руководитель группы исследований безопасности мобильных приложений Positive Technologies и один из авторов исследования Николай Анисеня. При этом большая часть недостатков носит системный характер — они появляются в приложениях еще на этапе их проектирования.

По его словам, утечка таких данных чревата потерей денег: например, злоумышленник может получить доступ к самому банковскому приложению или конфиденциальной финансовой информации и использовать ее для нелегитимных платежей. Причем пользователь может даже и не знать об операциях с его счетом, поскольку вирус способен, например, скрывать от него сообщения о переводах, заявил Николай Анисеня. По итогам I квартала 2019 года 54% всех атак были совершены с целью хищения информации: личной переписки, коммерческой тайны, учетных и персональных данных.

«Заразиться» довольно просто. Так, достаточно скачать скомпрометированное приложение на смартфон. Причем зачастую угрозы обусловлены несколькими, казалось бы, незначительными недостатками в разных частях мобильного приложения, которые в совокупности могут приводить к угрозе вторжения со стороны, например, в момент обмена данными между приложениями или с сервером. Кроме этого, наиболее распространенные каналы — фишинговая SMS-рассылка, в том числе под видом сообщения от знакомого человека, подключение смартфона к зараженному компьютеру или зарядной станции.

Ваш экран снимают

Способы хищения разнообразны. Согласно исследованию, вирусное ПО может отслеживать манипуляции пользователей с клавиатурой. Так, производитель виртуальной клавиатуры AI.type собирал чувствительные данные с мобильных устройств. Об этом стало известно после того, как приложение было взломано и произошла утечка базы данных 31 млн пользователей.

Другой вариант кражи данных — снимок экрана вирусным ПО. Когда пользователь сворачивает приложение, операционная система автоматически делает скриншот. В случае заражения этот снимок может переходить злоумышленникам. При этом на изображение могут попасть данные платежной карты.

Смартфон, зараженный вредоносной программой, становится «мобильным шпионом»: он может перехватывать и отправлять SMS, активировать видеозапись, делать скриншоты экрана, копировать контакты, фотографии и сохраненные документы, заявил ведущий аналитик департамента аудита и консалтинга Group-IB Вячеслав Васин. Однако немногие знают, что «шпионить» за пользователями могут вполне легитимные приложения, например «фонарик», который запрашивает расширенные права — доступ к базе контактов или фотографиям, добавил эксперт.

К опасным можно отнести довольно большой перечень приложений. Например, разработанные злоумышленниками и выдаваемые за какой-то полезный сервис, а также те, у которых есть незащищенные с точки зрения хищения из них пользовательских данных лазейки, уверен коммерческий директор компании «Аванпост» Александр Санин.

В основном современные вредоносные приложения для мобильных устройств действуют незаметно для пользователя. Вплоть до того, что оно может стирать сообщения от банка, например, об изменении баланса, заметил эксперт лаборатории практического анализа защищенности компании «Инфосистемы Джет» Георгий Старостин.

По словам антивирусного эксперта «Лаборатории Касперского» Виктора Чебышева, для того чтобы заразить устройство, киберпреступники прибегают к различным психологическим уловкам (применяют техники социальной инженерии), буквально заставляя жертву установить вредоносное приложение, за которым скрывается, например, троянец.

Дмитрий Гринкевич, Валерий Кодачигов