В Android-приложении «Госуслуги Москвы» обнаружена уязвимость
Опубликовал: FIELD LINE, 21-01-2021, 18:00, В России / Mobile, 398, 1
Специалисты компании Postuf, работающей в сфере информационной безопасности, обнаружили уязвимость в мобильном приложении «Госуслуги Москвы» для платформы Android. Её эксплуатация позволяла получить доступ к данным, которые пользователи указали на сайте сервиса, в том числе ФИО, адресам почтовых ящиков, номерам полиса ОМС и СНИЛС, списку имущества и др.
Кроме того, по номеру полиса ОМС можно было получить доступ к разного рода медицинским данным, в том числе о посещаемых врачах, выписанных рецептах и др. Источник отмечает, что уязвимость позволяла не только просматривать данные, но и вносить в них корректировки. Причём для пользователей такие изменения могли остаться незаметными, поскольку система не уведомляет пользователей о внесённых правках. Как долго существовала обнаруженная специалистами уязвимость и использовалась ли она злоумышленниками на практике, неизвестно.
Специалисты отмечают, что нанести серьёзный вред, зная данные с портала нельзя, но они могут быть скорректированы таким образом, что во владении ничего не подозревающего пользователя платформы появится, например, какое-то несуществующее имущество. Кроме того, персональные данные, хоть и не позволяют напрямую красть деньги, могут использоваться злоумышленниками для фишинговых атак.
В департаменте информационных технологий Москвы, специалисты которого разрабатывали портал mos.ru, не подтвердили наличие уязвимости, отметив, что авторизация в мобильном приложении «Госуслуги Москвы» без указания пароля невозможна. Несмотря на это в сообщении сказано, что после отправки запроса в ДИТ уязвимость была устранена.
Кроме того, по номеру полиса ОМС можно было получить доступ к разного рода медицинским данным, в том числе о посещаемых врачах, выписанных рецептах и др. Источник отмечает, что уязвимость позволяла не только просматривать данные, но и вносить в них корректировки. Причём для пользователей такие изменения могли остаться незаметными, поскольку система не уведомляет пользователей о внесённых правках. Как долго существовала обнаруженная специалистами уязвимость и использовалась ли она злоумышленниками на практике, неизвестно.
Специалисты отмечают, что нанести серьёзный вред, зная данные с портала нельзя, но они могут быть скорректированы таким образом, что во владении ничего не подозревающего пользователя платформы появится, например, какое-то несуществующее имущество. Кроме того, персональные данные, хоть и не позволяют напрямую красть деньги, могут использоваться злоумышленниками для фишинговых атак.
В департаменте информационных технологий Москвы, специалисты которого разрабатывали портал mos.ru, не подтвердили наличие уязвимости, отметив, что авторизация в мобильном приложении «Госуслуги Москвы» без указания пароля невозможна. Несмотря на это в сообщении сказано, что после отправки запроса в ДИТ уязвимость была устранена.
