Большинство приложений для покупки одежды имеют критические уязвимости

Большинство приложений для покупки одежды имеют критические уязвимости

Большинство приложений для покупки одежды имеют критические уязвимости

Исследователи компании Ростелеком-Solar проанализировали популярные мобильные приложения, предназначенные для покупки одежды, среди них были MANGO, ASOS, SHEIN, bonprix, Wildberries, H&M, KUPIVIP, Bershka, Joom и Lamoda. Однако выводы экспертов довольно неутешительные — большинство приложений имеют критические уязвимости.

На фоне растущей популярности подобных приложений очень важно адекватно оценивать риски и представлять, насколько хорошо защищены ваши данные.

Исследование Ростелеком-Solar продемонстрировало, что имеющиеся в приложениях для покупки одежды бреши могут привести к утечке конфиденциальных данных — например, информации платежных карт или паролей от аккаунтов.

Специалисты проанализировали версии вышеозначенных приложений для двух наиболее популярных мобильных ОС — Android и iOS.

В результате оказалось, что более 85% Android-приложений для покупки одежды способны раскрыть информацию о платежных картах пользователей. 9 из 10 приложений для Android потенциально допускают утечку информации о конфигурации системы. Такие данные могут быть использованы злоумышленником при планировании атаки.

Самыми защищенными Android-версиями приложений для покупки одежды оказались MANGO, ASOS и SHEIN. Чуть менее защищены bonprix, Wildberries, H&M, KUPIVIP и Bershka. А вот Joom и Lamoda оказались критически уязвимы, причем в каждом из них содержатся 5 серьезных дыр.

В случае с операционной системой iOS все еще хуже — среди проанализированных приложений не оказалось ни одного, которое бы удовлетворяло среднему по отрасли показателю уровня защищенности.

Любое из iOS­-приложений для покупки одежды содержит критические уязвимости, наименьшее количество дыр содержат bonprix, Wildberries, ASOS и Bershka. При этом все приложения для iOS используют устаревшие хеш­-функции (MD5 или SHA­1).

Это значит, что атакующий потенциально сможет получить доступ к аккаунту жертвы.

«Значимость защищенности мобильных приложений ретейлеров трудно переоценить, ведь они оперируют платежными данными, компрометация и утечка которых способна нанести колоссальный финансовый ущерб пользователям и репутационный – бренду. В связи с ежегодным всплеском покупательской активности в начале марта мы посчитали необходимым проверить уровень защищенности мобильных приложений для покупки одежды», — комментирует Даниил Чернов, руководитель направления Solar appScreener компании Ростелеком-Solar.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Роскомнадзор усилит контроль за обходом блокировок

Роскомнадзор опубликовал проект приказа, который обязывает операторов связи передавать данные, позволяющие идентифицировать средства связи и клиентские устройства, используемые для доступа в интернет. Мера направлена на предотвращение доступа к информации, распространение которой ограничено в России.

Проект документа размещен на Федеральном портале проектов нормативных актов. Приказ является подзаконным актом к 216-ФЗ «Об инновационных научно-технологических центрах и о внесении изменений в отдельные законодательные акты Российской Федерации», который был принят в августе 2024 года.

«В целях эффективного выявления интернет-трафика, обеспечивающего доступ к противоправным интернет-ресурсам, для последующего ограничения доступа к ним техническими средствами противодействия угрозам (далее — ТСПУ) проводится анализ интернет-трафика. Принадлежность интернет-трафика пользовательскому оборудованию (оконечному оборудованию) конкретного пользователя определяется по сетевому адресу. Проект приказа устанавливает обязанность операторов связи представлять в Роскомнадзор информацию, позволяющую идентифицировать средства связи и пользовательское оборудование (оконечное оборудование)», — говорится в пояснительной записке к документу.

Регулятор начнет получать данные о клиентском оборудовании через 3 месяца после вступления приказа в силу. Для передачи данных будут использоваться ТСПУ.

Как уточнили в ведомстве в ответ на запрос РБК, собирать данные о личных устройствах пользователей Роскомнадзор не намерен:

«Проект приказа Роскомнадзора подразумевает сбор сетевых адресов, которые используются операторами связи в различных субъектах Российской Федерации для актуализации правил фильтрации в целях противодействия компьютерным атакам, в том числе DDoS-атакам. Информация о личных устройствах пользователей не собирается, поскольку не требуется для противодействия угрозам».

Эксперты, опрошенные «Ведомостями», отметили, что такие требования устанавливал федеральный закон 126-ФЗ «О связи», однако они фактически не исполнялись. Кроме того, порядок исполнения, а также сроки и методы не были прописаны. Новый приказ закрывает прорехи в выявлении учтенного трафика системой «Ревизор», которая предназначена для отслеживания доступа к ресурсам с ограниченным доступом.

Партнер юридической фирмы «Рустам Курмаев и партнеры» Дмитрий Горбунов также напомнил, что к ответственности можно привлечь только автора противоправного контента или владельца ресурса, на котором такой контент опубликован, а криминализация обхода блокировок, по его мнению, вряд ли будет криминализирована в ближайшем будущем.

По мнению координатора Ассоциации малых операторов России Дмитрия Галушко, определить, на какой сайт заходят пользователи, применяющие средства обхода блокировок, никакие регуляторы не могут по фундаментальным причинам:

«Никакие ТСПУ не смогут изменить законы физики, как бы того ни хотелось».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru