В глобальном масштабе исследование почти 800 бесплатных VPN-приложений для Android и iOS выявило тревожную картину: вместо защиты конфиденциальности личных данных, многие из этих приложений становятся источником утечек. Эксперты Zimperium обнаружили, что уязвимости варьируются от небезопасных конфигураций до опасных разрешений и устаревших библиотек, которые делают такие приложения слабым звеном в вопросе безопасности.
Угрозы для пользователей и корпоративной безопасности
Утечка данных через VPN приложения может затронуть не только индивидуальных пользователей, но и корпоративные сети, политики BYOD, а также компании с ценными активами. Под маской легитимных интерфейсов злоумышленники способны перехватывать учетные данные, собирать идентификаторы устройств и даже записывать окружающее аудио. На Android некоторые VPN-пакеты содержат вредоносные модули, которые запускают скрытые сетевые запросы. В то же время на iOS недостаточно настроенные манифесты и чрезмерные энтитлменты позволяют приложениям тайно собирать и вывозить местоположение, дневники использования и отчеты об ошибках.
Эксплуатация разрешений и эксфильтрация
Злоупотребление разрешениями и эксфильтрация данных являются критическими механизмами, которые позволяют злоумышленникам расширять возможности VPN за пределы их изначального назначения. Например, разрешение READ_LOGS на Android дает приложению возможность читать системные журналы, содержащие фрагменты пользовательского ввода и токены. Это создает скрытый канал передачи данных на незащищенные серверы, обходя шифрование VPN. На iOS чрезмерные разрешения, такие как LOCATION_ALWAYS, предоставляют постоянный доступ к GPS, позволяя приложениям отслеживать передвижения в реальном времени.
- Мошеннические приложения на Android могут использовать разрешения для сбора системных данных, ставя под угрозу пользователей.
- На iOS неправильно настроенные политики обеспечения конфиденциальности позволяют приложениям стать невидимым инструментом слежения.
Пользователям и организациям необходимо тщательно проверять предоставляемые разрешения, строго отбирать провайдеров VPN и выбирать решения с прозрачным и регулярно обновляемым кодом. В противном случае бесплатные VPN-приложения могут стать инструментом для глобального мониторинга, не оставляя пользователям шанса осознать угрозу вовремя.
