Богатырёва о цифре

😱 Образовательные приложения — рассадник уязвимостей. И это только верхушка айсберга Специалисты AppSec проанализировали 87 мобильных приложений для образования: репетиторы, самоучители по языкам, учебники, электронные дневники. И нашли в них более 1000 критических уязвимостей. В среднем по 12 опасных «дыр» на каждое приложение. Эксперты бьют тревогу: образовательный сектор оказался одним из самых уязвимых. Разбираемся, почему так вышло и чем это грозит, вместе с Александром Рыжовым из SecPost. 📊 Насколько это много? Очень много. Для сравнения: в финансовом секторе, который считается одной из самых атакуемых целей, за весь 2025 год выявили 1921 критическую уязвимость. То есть одна образовательная выборка почти достигает показателя целого финансового сектора. При этом на общем рынке ситуация не лучше: 84% всех Android-приложений содержат уязвимости высокого или критического уровня. Но образовательный сегмент выделяется тем, что число найденных проблем за год выросло на 41%, а критических — сразу на 56%. Самые распространенная проблема — доступ к данным через уязвимость ArbitraryActivityStart. Остановимся на ней подробнее: она одновременно самая опасная и сложнее всего объяснима. ❓ Что за уязвимость ArbitraryActivityStart и чем она опасна? Представьте, что приложение — это здание с множеством комнат. В каждую комнату ведет своя дверь, и чтобы попасть в нужную, нужно пройти через коридоры и охрану. Уязвимость ArbitraryActivityStart позволяет злоумышленнику телепортироваться в любую комнату напрямую, минуя все проверки. Технически это выглядит так: хакер формирует специальный запрос к скрытому компоненту приложения — например, к меню администратора в электронном дневнике, где можно менять оценки и настройки. В обычной жизни туда не попасть, но через эту уязвимость злоумышленник обращается к нему напрямую и получает доступ к функциям, которые ему не положены. Последствия разнятся: от незначительных (например, изменение оценок за успеваемость) до кражи личных данных и получения контроля над аккаунтом пользователя. 🖥 Почему утечка токенов и ключей считается катастрофой? Токены и ключи — это цифровые пропуска, которые подтверждают личность пользователя и его права. Когда разработчики оставляют их в коде приложения, они фактически раздают эти пропуска направо и налево. Последствия могут быть катастрофическими: ➖ Злоумышленник может выдать себя за легитимного пользователя или администратора ➖ Получить доступ к его аккаунту, личным данным, платежной информации ➖ Токены часто дают доступ не только к самому приложению, но и к серверной инфраструктуре, где хранятся данные всех пользователей По сути, утечка токенов и ключей — это приглашение злоумышленнику войти в приложение с правами разработчика: менять настройки, похищать данные пользователей, подменять контент и использовать приложение как плацдарм для атак на другие системы. А главное — это проблема не только образования. Если такой бардак в приложениях для детей и студентов, что тогда творится в остальных сегментах? ⏺«Богатырева о цифре» в Максе