В коде популярных Android- и iOS-приложений нашли открытые учётные данные

В коде популярных Android- и iOS-приложений нашли открытые учётные данные

В коде популярных Android- и iOS-приложений нашли открытые учётные данные

Специалисты изучили ряд популярных приложений в Google Play и App Store и нашли серьёзные проблемы в безопасности: жёстко заданные в коде учётные данные и незашифрованные логины от облачных сервисов.

По словам исследователей Юаньцзиня Го и Томми Донга, это типичный пример ленивого подхода к программированию. Наличие учётных данных в коде ,как известно, существенно повышает риск раскрытия пользовательских данных.

В частности, специалисты Symantec указывают на следующие приложения для мобильных устройств, где им удалось выявить проблемы:

  • The Pic Stitch — этот софт для Android оценили более пяти миллионов пользователей. Он позволяет редактировать коллажи, однако содержит захардкоженные учётные данные от хранилища Amazon S3.
  • Crumbl — iOS-приложение, помогающее пользователям заказывать сладости, раскрывает данные AWS в виде простого текста, включая ключ доступа и секретный ключ.
  • Eureka — софт для опросов, который оценили почти 500 тыс. пользователей. Тоже содержит жёстко заданные в коде логины и пароли.
  • Videoshop — видеоредактор, в коже которого нашлись учётные данные AWS. С помощью этой информации любой, у кого будет бинарник, может получить доступ к бэкенду и выкрасть данные.
  • Meru Cabs — ориентированное на индийских пользователей приложение для вызова такси. Содержит жёстко заданные в коде учётные данные Azure.
  • Sulekha Business — генератор лидов с той же проблемой — логины и пароли от облачного сервиса Azure.
  • EatSleepRIDE Motorcycle GPS — здесь эксперты нашли данные для входа в аккаунт Twilio.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники создают клоны карт через мобильные приложения, предупреждает ЦБ

Злоумышленники начали использовать виртуальные образы банковских карт для снятия наличных в банкоматах без необходимости предъявлять физическую карту. О мошеннической схеме предупредил Банк России.

Как сообщили представители регулятора «Интерфаксу», схема атаки выглядит следующим образом: мошенники звонят потенциальной жертве и сообщают, что с ее счета якобы пытаются украсть деньги.

Чтобы предотвратить «кражу», они убеждают установить на смартфон мобильное приложение, выдавая его за программу от Банка России или другой финансовой организации. Во время установки злоумышленники требуют не пользоваться устройством.

Далее мошенники заставляют жертву запустить приложение, приложить карту к телефону и ввести код подтверждения от банка. В этот момент создается цифровой клон карты, который затем загружается на устройство злоумышленников. Используя этот образ, они снимают деньги в банкоматах или совершают покупки.

Банк России напоминает, что не следует устанавливать неизвестные приложения, выполнять действия в банковских сервисах по требованию посторонних и передавать кому-либо свои личные или финансовые данные, независимо от предлога.

Эта схема мошенничества была выявлена еще в 2023 году при атаках на клиентов чешских банков. В ноябре 2024 года, по данным ВТБ и аналитиков «Доктор Веб», она дошла до России.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru