Миллионы людей используют Android-приложения, которые могут быть использованы мошенниками для получения важных данных, включая персональную и финансовую информацию. К таким выводам приводят результаты исследования группы специалистов по безопасности из Института Лейбница в Ганновере (Германия) после проведения тестирования 13,500 приложений, использующих протоколы безопасного соединения с сервером SSL/TLS из официального магазина приложений Play Google.
Результаты теста показали, что почти 8% этих приложений не смогли защитить банковские счета и логины к социальным сетям. Они оказались уязвимы для атак, нацеленных на перехват информации, во время обмена данными устройства с веб-сайтами.
Создавая поддельные Wi-Fi точки доступа, и внедряя через них специально созданный инструмент для атаки и шпионажа, специалисты смогли:
- перехватывать данные для доступа к интернет-банковским счетам, сервисам электронной почты, социальным сетям и корпоративным сетям;
- отключать программы обеспечения безопасности или обмануть их, маркируя безопасные приложения, как инфицированные;
- внедрять компьютерный код в поток данных, который заставляет приложения выполнять определенные команды.
Злоумышленник может даже перенаправить запрос на перевод денежных средств, замаскировав его для пользовательского приложения, как-будто сделка не была изменена. Некоторые из тестируемых приложений загружались миллионы раз, говорят исследователи.
Последующий опрос 754 человек, проведённый в рамках исследования, показал, что пользователи не смогли самостоятельно определить, когда они подвергались опасности.
“Около половины участников не смогли корректно оценить состояние безопасности текущей сессии браузера”, – говориться в итогах исследования, целью которого было изучение способов правильного сочетания юзабилити, безопасности и экономических стимулов для разработчиков.
Компания Google никак не прокомментировала исследование и его результаты.