AppSec Solutions: две трети банковских приложений в России уязвимы

В двух третях приложений российских финансовых учреждений обнаружены уязвимости. Примерно 30% из них могут привести к утечке данных. Однако существуют и приложения, которые не имеют уязвимостей — обычно это продукты, созданные крупными банками. Об этом сообщили в компании AppSec Solutions.

Источник изображения сгенерировано нейросетью DALL•Е 3

В феврале руководитель Центрального банка России Эльвира Набиуллина сообщила, что до конца первого квартала 2025 года все финансовые учреждения страны должны решить проблему хищений средств со счетов из-за недостаточной защищённости их приложений.

По её словам, приложения некоторых банков надёжно защищены от вирусов, которые позволяют совершать кражи со счетов, но в других финансовых организациях такой защиты нет. В марте Набиуллина подчеркнула, что банковское приложение должно быть таким же надёжным, как сейф в банковской кассе, и обеспечивать защиту от несанкционированного доступа.

Согласно исследованию, проведённому в 2024 году, две трети банковских приложений в российских магазинах приложений содержат уязвимости. Более трети из них имеют высокий или критический уровень опасности, что может привести к утечкам данных. В исследовании изучили 95 финансовых приложений.

Всего специалисты нашли 1583 уязвимости, из них больше трети – 569 – критического и высокого. В прошлом году в приложениях банков было найдено около 4,5 тысячи уязвимостей, однако только 183 из них были действительно опасными. Одна из часто встречающихся уязвимостей в финтех-приложениях – хранение секретов для доступа к сторонним сервисам в открытом виде.

AppSec Solutions

Среди распространённых ошибок — сохранение конфиденциальных данных в приватных файлах, а также сохранение обнаруженных конфиденциальных данных в приложении. Кроме того, существует риск, что текст, введённый пользователем, может попасть в файлы приложения.

Примечательно, что в приложениях ведущих банков не было выявлено уязвимостей.

Мошенники разработали новый способ кражи данных с банковских карт, используя вредоносное программное обеспечение NFCGate. Они создают поддельную копию карты, которая позволяет им совершать покупки в терминалах, поддерживающих технологию NFC.