В коде популярных приложений нашли незашифрованные ключи AWS и Azure

Исследователи безопасности из Symantec рассказали, что в коде популярных мобильных приложений нашли незашифрованные ключи доступа к Amazon Web Services и Microsoft Azure Blob Storage. Это даёт возможность злоумышленникам похитить пользовательские данные и использовать их для продажи или шантажа.

Команда исследователей отмечает, что такое обычно возникает из-за халатности и невнимательности. Для удобства разработчики вставляют учётные данные прямо в код, а после релиза не удаляют их. Такой подход — грубое нарушение безопасности.

В Google Play ключи для доступа к облачным сервисам нашли в следующих приложениях:

• Pic Stitch (более 5 млн загрузок) — учётные данные Amazon;

• Meru Cabs (более 5 млн загрузок) — учётные данные Amazon;

• ReSound Tinnitus Relief (более 500 000 загрузок) — учётные данные Microsoft Azure Blob Storage;

• Saludsa (более 100 000 загрузок) — учётные данные Microsoft Azure Blob Storage;

• Chola Ms Break In (более 100 000 загрузок) — учётные данные Microsoft Azure Blob Storage;

• EatSleepRIDE Motorcycle GPS (более 100 000 загрузок) — учётные данные Twilio;

• Beltone Tinnitus Calmer (более 100 000 загрузок) — учётные данные Microsoft Azure Blob Storage.

В App Store похожая ситуация, но магазин приложений Apple не показывает общее количество загрузок (обычно они в несколько раз превышают оценки):

• Crumbl (более 3,9 млн оценок) — учётные данные Amazon;

• Eureka: Earn money for surveys (более 402 100 оценок) — учётные данные Amazon;

• Videoshop – Video Editor (более 357 900 оценок) — учётные данные Amazon;

• Solitaire Clash: Win Real Cash (более 244 800 оценок) — учётные данные Amazon;

• Zap Surveys — Earn Easy Money (более 235 000 оценок) — учётные данные Amazon.