Более 3,5 тыс. уязвимостей нашли в приложениях доставки еды

Сервисы доставки еды и продуктов вошли в число самых проблемных отраслей по числу уязвимостей в мобильных приложениях. К такому выводу пришли специалисты AppSec Solutions, проанализировав 89 наиболее востребованных российских приложений данной категории с помощью платформы Appsec.Sting. Проверка проводилась методом «черного ящика» – без доступа к исходным кодам, по 74 типам потенциальных дефектов. Как рассказали IT Speaker, общее число найденных уязвимостей превысило 3,5 тысячи, причем каждая третья из них относится к критическому уровню риска. В среднем на одно приложение приходится около 40 уязвимостей, из которых почти половина требует незамедлительного устранения.

По сумме критических и высокоопасных дефектов (почти 1,7 тыс.) отрасль доставки заняла пятое место среди всех исследованных секторов, пропустив вперед стриминговые платформы, финансовый сектор, корпоративные решения и СМИ. При этом по числу низкоуровневых проблем доставка оказалась безусловным лидером – 211 таких дефектов, что формирует самый длинный «хвост» мелких недочетов. По отдельности они не кажутся опасными, но в совокупности могут быть использованы для построения цепочки атаки. Чаще всего критический уровень связан с хранением конфиденциальной информации – ключей, токенов и паролей – непосредственно в коде сборки. Среди проблем высокого уровня доминируют некорректные настройки манифеста Android и ошибки в конфигурации сетевых взаимодействий, включая использование слабой криптографии, при которой одинаковые фрагменты данных шифруются одинаково, что облегчает их анализ.

Уязвимость приложений доставки усугубляется их широкой интеграционной поверхностью: картографические сервисы, геокодирование, отслеживание курьеров, push-уведомления, платежные шлюзы, программы лояльности и аналитические системы. Если ключи доступа к этим компонентам встроены в мобильную сборку, злоумышленник может извлечь их с помощью обычного декомпилятора, не затрагивая серверную инфраструктуру. Это открывает путь не только к взлому самого приложения, но и к несанкционированному использованию облачных ресурсов – от спам-рассылок от имени сервиса до неконтролируемого роста затрат на платные API и доступа к файловым хранилищам.

Руководитель продукта Appsec.Sting Никита Пинаев отметил, что риск-профиль данных, которые обрабатывают сервисы доставки, системно недооценивается. «Связка "адрес, время, состав заказа" – это уже не просто контактные данные, а поведенческий профиль: график жизни человека, состав семьи, уровень дохода, а в сегменте e-grocery еще и косвенные признаки состояния здоровья. С 30 мая 2025 года за повторную утечку персональных данных компаниям может грозить оборотный штраф», – подчеркнул он. Второй недооцененный аспект, по мнению эксперта, – антифрод: слабая криптография и отсутствие проверок на root-доступ и запуск в эмуляторе создают почву для массовых злоупотреблений. Накрутка промокодов, создание фиктивных аккаунтов, эмуляторные фермы – это прямые финансовые потери, которые, однако, редко учитываются в отчетах по информационной безопасности.

Ранее исследование AppSec Solutions показало, что поток обнаруженных уязвимостей растет вместе с охватом кода. Конвейер платформы сжимает этот поток почти в две тысячи раз и автоматически отсеивает ложные срабатывания, высвобождая время инженеров ИБ для работы с действительно серьезным риском. Такие выводы сделали эксперты по кибербезопасности компании AppSec Solutions на основании исследования обезличенных данных 4 214 кодовых баз общим объемом около 510 млн строк кода с января 2025 года по май 2026-го.