В приложениях доставки еды и продуктов нашли 3 585 уязвимостей

Компания AppSec Solutions с помощью платформы Appsec.Sting исследовала 89 самых скачиваемых российских мобильных приложений категории «Доставка еды и продуктов». Более трети найденных уязвимостей имеют критический уровень риска, а самая частая критическая проблема – чувствительные данные, оставленные разработчиками прямо в коде мобильной сборки. Об этом CNews сообщили представители AppSec Solutions.

Анализ проводился методом «черного ящика»: приложения устанавливались из открытых источников и проверялись по 74 типам уязвимостей без доступа к исходному коду. В категории доставки обнаружено 3,59 тыс. уязвимостей, в том числе 1,29 тыс. критического уровня, 370 высокого и 499 среднего. По сумме критических и высоких уязвимостей (1,66) отрасль замыкает топ-5, уступая стриминговым сервисам, финансам, корпоративным приложениям и СМИ. В пересчете на одно приложение это около 40 находок, из которых 18–19 требуют приоритетного исправления. При этом доставка лидирует среди всех отраслей и по числу уязвимостей низкого уровня: их обнаружено 211. Это самый большой «длинный хвост» мелких дефектов, которые по отдельности выглядят безобидно, но могут складываться в рабочую цепочку атаки.

Среди критических уязвимостей чаще всего встречается хранение чувствительной информации в коде приложения. Среди уязвимостей высокого уровня преобладают небезопасные настройки AndroidManifest.xml и ошибки конфигурации сетевого взаимодействия. В этом режиме одинаковые блоки открытого текста шифруются одинаково, поэтому в зашифрованных данных сохраняются заметные закономерности.

Специфика отрасли в том, что у доставки самая широкая интеграционная поверхность в ритейле: карты и геокодирование, трекинг курьера, пуши, платежный шлюз, программа лояльности, аналитика. Если ключи доступа к сервисам оставлены в мобильной сборке, их можно извлечь обычным декомпилятором без атаки на инфраструктуру компании. Последствием становится не только уязвимость приложения, но и несанкционированное использование облачных сервисов бренда: рассылка уведомлений от имени сервиса, рост расходов на обращения к платным API, доступ к файловому хранилищу.

«Риск-профиль данных, которые обрабатывают сервисы доставки, системно недооценивают, – сказал Никита Пинаев, руководитель продукта Appsec.Sting компании AppSec Solutions. – Связка «адрес, время, состав заказа» – это уже не просто контактные данные, а поведенческий профиль: график жизни человека, состав семьи, уровень дохода, а в сегменте e-grocery, то есть доставки продуктов, ещё и косвенные признаки состояния здоровья, например по заказам детского, диетического или специального питания. С 30 мая 2025 г. за повторную утечку персональных данных компаниям может грозить оборотный штраф. Второй недооценённый сюжет – антифрод: слабая криптография и отсутствие проверок на root-доступ и запуск в эмуляторе бьют не только по пользователю, но и по юнит-экономике сервиса. Это массовое создание аккаунтов, накрутка промокодов и бонусов, эмуляторные фермы – прямые потери, которые редко попадают в отчёты по информационной безопасности».

Что делать компаниям отрасли. Вынести секреты из мобильной сборки в защищенное хранилище на стороне бэкенда и выстроить ротацию токенов: скомпрометированный ключ должен отзываться за часы, а не за релизный цикл. Пересмотреть обработку диплинков: маркетинг доставки построен на диплинках, пушах и QR-кодах, а ошибки валидации таких точек входа могут позволить открыть произвольный URL в WebView внутри легитимного приложения, которому пользователь доверяет. Проверять не только основное клиентское приложение: у курьерских и партнерских версий часто больше прав и данных, а внимания к их защищённости меньше. Контролировать дистрибуцию: при размещении в нескольких магазинах и раздаче APK с собственного сайта нельзя полагаться только на проверку магазина, нужны контроль целостности сборки и защита от модификации. Встроить анализ защищённости в релизный цикл: приложения доставки часто обновляются еженедельно, поэтому разовый аудит устаревает быстрее, чем выходит следующая версия.