Суперпопулярные мобильные приложения в Google Play позволяют хакерам узнавать пароли пользователей.
В списке небезопасного ПО — приложения, которые совокупно были скачаны пользователями уже более 200 млн раз. Из известных программ эксперты выделяют официальные приложения Национальной баскетбольной ассоциации (НБА), сервиса знакомств Match.com и ресторана PizzaHut.
Так, программа Match.com не использует шифрование при отправке паролей, что позволяет осуществить атаку «человек посередине», так как защита данных становится уязвимой. А приложения НБА и PizzaHut, хотя и прибегают к HTTPS-шифрованию, но работают некорректно, что также является уязвимостью для хакера, стремящегося завладеть данными пользователя. Осуществить преступный план сможет любой злоумышленник, которому, к примеру, удастся установить контроль над Wi-Fi-соединением, которым пользуется владелец устройства под управлением Android.
Интересно, что исследователи уязвимостей сообщили разработчику приложения НБА об угрозе еще в конце февраля, однако до сих пор не получили ответа. Точно так же поступили и другие разработчики. В общей сложности около 100 приложений невольно открывают хакерам доступ к данным пользователя. После того как бреши были найдены, лишь в 28 приложениях дыры были закрыты.
Добавим, что ранее Tapioca просканировала более 1 млн приложений и обнаружила 23 667 уязвимых продуктов, использующих ненадежные SSL-соединения. Эта цифра существенно превосходит результаты, опубликованные в сентябре прошлого года: тогда было обнаружено всего 350 таких приложений.
Приложения, которые некорректно проверяют SSL-соединения, уязвимы к man-in-the-middle-атакам и позволяют взломщику извлекать из трафика информацию или же подменять целевой веб-сайт. В любом случае клиент, скорее всего, общается не с тем сайтом, с которым должен, а хакер имеет возможность перехватывать якобы шифрованный трафик.
