В коде популярных приложений нашли незашифрованные ключи AWS и Azure

Исследователи безопасности из Symantec рассказали, что в коде популярных мобильных приложений нашли незашифрованные ключи доступа к Amazon Web Services и Microsoft Azure Blob Storage.

Это даёт возможность злоумышленникам похитить пользовательские данные и использовать их для продажи или шантажа.Команда исследователей отмечает, что такое обычно возникает из-за халатности и невнимательности.

Для удобства разработчики вставляют учётные данные прямо в код, а после релиза не удаляют их. Такой подход — грубое нарушение безопасности.В Google Play ключи для доступа к облачным сервисам нашли в следующих приложениях:Pic Stitch (более 5 млн загрузок) — учётные данные Amazon;Meru Cabs (более 5 млн загрузок) — учётные данные Amazon;ReSound Tinnitus Relief (более 500 000 загрузок) — учётные данные Microsoft Azure Blob Storage;Saludsa (более 100 000 загрузок) — учётные данные Microsoft Azure Blob Storage;Chola Ms Break In (более 100 000 загрузок) — учётные данные Microsoft Azure Blob Storage;EatSleepRIDE Motorcycle GPS (более 100 000 загрузок) — учётные данные Twilio;Beltone Tinnitus Calmer (более 100 000 загрузок) — учётные данные Microsoft Azure Blob Storage.В App Store похожая ситуация, но магазин приложений Apple не показывает общее количество загрузок (обычно они в несколько раз превышают оценки):Crumbl (более 3,9 млн оценок) — учётные данные Amazon;Eureka: Earn money for surveys (более 402 100 оценок) — учётные данные Amazon;Videoshop – Video Editor (более 357 900 оценок) — учётные данные Amazon;Solitaire Clash: Win Real Cash (более 244 800 оценок) — учётные данные Amazon;Zap Surveys - Earn Easy Money (более 235 000 оценок) — учётные данные Amazon.