AppSec Solutions исследовала 89 популярных российских мобильных приложений для доставки еды и продуктов с помощью платформы AppSec.Sting. Всего обнаружено 3 585 уязвимостей, из которых 1 290 имеют критический уровень риска.
Проверка проводилась методом «черного ящика» по 74 типам уязвимостей без доступа к исходному коду. В среднем на одно приложение пришлось около 40 проблем, 18–19 из которых требуют приоритетного исправления.
Наиболее распространенной критической проблемой стало хранение чувствительных данных непосредственно в коде мобильного приложения. Среди уязвимостей высокого уровня чаще встречались небезопасные настройки Android и ошибки конфигурации сетевого взаимодействия.
По словам Никиты Пинаева, руководителя продукта AppSec.Sting компании AppSec Solutions, безопасность приложений доставки особенно важна из-за большого объема чувствительной информации.
«Связка "адрес, время, состав заказа" — это уже не просто контактные данные, а поведенческий профиль: график жизни человека, состав семьи, уровень дохода», — отметил эксперт.
Отдельным риском остаются ключи доступа к внешним сервисам, которые при попадании в мобильную сборку можно извлечь без взлома инфраструктуры. Это может привести к несанкционированному использованию API, росту расходов и доступу к корпоративным данным.
В AppSec Solutions рекомендуют хранить секреты на стороне бэкенда, регулярно ротировать токены, проверять диплинки и целостность сборок, а также включать анализ безопасности в каждый релиз мобильного приложения.