За год число критических уязвимостей в финтех-приложениях выросло в 3,5 раза

Это критическая уязвимость, позволяющая злоумышленникам получить доступ к приложению и взломать бэкенд, похитить данные пользователей, а теоретически и совершать несанкционированные транзакции.

Более 2 000 уязвимостей критического и высокого уровня обнаружили в результате исследования AppSec Solutions, компания подвела итоги мониторинга мобильных приложений с помощью продукта AppSec.Sting в категории «финансы» за 2025 год. В выборку вошло более 90 наиболее популярных приложений банковского сектора, микрозаймов и страхования. Всего в приложениях этой категории обнаружено более 3 500 уязвимостей.

По сравнению с 2024 годом, в 2025 уязвимостей программного обеспечения стало больше, количество серьезных проблем также выросло. Частично, уверяют разработчики сервиса AppSec.Sting, это связано с усовершенствованием диагностики. Однако количество проблем, рассказывают эксперты по кибербезопасности растет пропорционально объемам кода.

"Больше всего проблем мы находим в хранении чувствительной информации в коде, что говорит о необходимости более глубокой интеграции практик безопасной разработки в правильный цикл проверок на безопасность, поэтом такие приложения, увы, достаточно уязвимы. Проблем множество. От небезопасного хранения чувствительных данных до небезопасной реализации схем по межпроцессному взаимодействию, которые могут приводить к открытию каких-нибудь фишинговых страниц в контексте приложения или аутентифицироваться под своим легитимным аккаунтом в тех схемах, где это не должно было происходить", - рассказал Никита Пинаев, руководитель отдела анализа защищенности мобильных приложений AppSec.Sting компании AppSec Solutions

Самая опасная уязвимость – хранение чувствительной информации в исходном коде, таких в финтех-приложениях обнаружили 1 541. Это одна из самых распространенных и критических уязвимостей мобильных приложений. Она возникает, когда разработчики оставляют «зашитыми» секретные данные прямо в коде программы. Злоумышленники могут с помощью декомпиляции вычислить конфиденциальные данные и «вскрыть» приложение. Для пользователей это опасно тем, что, получив доступ к серверам компании-владельца, хакеры могут похитить личные данные или банковские реквизиты. Разумеется, подчеркивают эксперты AppSec Solutions, одна уязвимость не приведет к массовому взлому банковских приложений, как правило, речь идет о целой цепочке проблем, которые могут привести к серьезным последствиям.