В приложениях доставки еды и продуктов нашли 3 585 уязвимостей
В 89 российских мобильных приложениях категории «Доставка еды и продуктов» обнаружено 3 585 уязвимостей, из которых 1 286 имеют критический уровень риска. С такими выводами поделились с SecPost в компании AppSec Solutions по итогам исследования, проведённого с помощью платформы Appsec.Sting.
Анализ выполнялся методом «чёрного ящика»: приложения устанавливались из открытых источников и проверялись по 74 типам уязвимостей без доступа к исходному коду. Помимо критических, выявлено 370 уязвимостей высокого и 499 среднего уровня риска. По сумме критических и высоких уязвимостей (1 656) отрасль занимает пятое место, уступая стриминговым сервисам, финансовому сектору, корпоративным приложениям и СМИ. В пересчёте на одно приложение приходится около 40 находок, из которых 18–19 требуют приоритетного исправления. При этом доставка лидирует по числу уязвимостей низкого уровня — 211.
Среди критических уязвимостей чаще всего встречается хранение чувствительной информации в коде приложения. Среди уязвимостей высокого уровня преобладают небезопасные настройки AndroidManifest.xml и ошибки конфигурации сетевого взаимодействия.
Как указывается в сообщении компании, специфика отрасли в широкой интеграционной поверхности: карты и геокодирование, трекинг курьера, push-уведомления, платёжный шлюз, программа лояльности, аналитика. Если ключи доступа к сервисам оставлены в мобильной сборке, их можно извлечь декомпилятором без атаки на инфраструктуру. Последствиями становятся не только уязвимость приложения, но и несанкционированное использование облачных сервисов: рассылка уведомлений от имени сервиса, рост расходов на обращения к платным API, доступ к файловому хранилищу.
В компании также отмечают, что риск-профиль данных, обрабатываемых сервисами доставки, системно недооценивается. Связка «адрес, время, состав заказа» формирует поведенческий профиль: график жизни, состав семьи, уровень дохода, в сегменте e-grocery — косвенные признаки состояния здоровья. С 30 мая 2025 года за повторную утечку персональных данных компаниям может грозить оборотный штраф. Кроме того, слабая криптография и отсутствие проверок на root-доступ и запуск в эмуляторе создают риски для юнит-экономики сервиса: массовое создание аккаунтов, накрутка промокодов и бонусов, эмуляторные фермы.
Среди рекомендаций для компаний отрасли — вынос секретов из мобильной сборки в защищённое хранилище на бэкенде, ротация токенов, пересмотр обработки диплинков, проверка курьерских и партнёрских версий приложений, контроль целостности сборки при дистрибуции, а также встраивание анализа защищённости в релизный цикл с учётом еженедельных обновлений.
Читайте также
