Из числа популярных в России приложений из Google Play хочет получать больше всего персональных данных официальный клиент для социальной сети «ВКонтакте». После установки он запрашивает 60 различных разрешений
[1015], среди которых доступ к данным о местоположении (точным и примерным), камере, аккаунтам на устройстве, истории звонков, сообщениям, сведениям о смартфоне (модель, заряд батареи, количество свободной оперативной памяти), микрофону и системным настройкам.
В 2017 г. российский программист Владислав Велюга проанализировал трафик мобильного приложения «ВКонтакте» и выяснил, что оно передает на удаленные серверы информацию практически обо всех действиях пользователя программы и прочие персональные данные, например сведения о геопозиции и ближайших базовых станциях, информацию об обнаруженных точках доступа Wi-Fi и список установленных приложений
[1016].
Чуть меньше разрешений запрашивает приложение «Сбербанк Онлайн» (51 запрос
[1017]) и мобильный клиент Bitrix24 (48 запросов
[1018]). Оба просят доступ к данным о местоположении устройства, камере, записи звука и модификации настроек. Приложение Bitrix24 также хочет без уведомления пользователя редактировать контакты и календарь
[1019]. На сайте Exodus можно проверить, есть ли в этих и других приложениях требуемые разрешения и нет ли трекеров
[1020].
Важно отметить, что запрет доступа приложения к информации того или иного рода (блокировка разрешения) не всегда предотвращает утечку персональных данных. В исследовательской работе 50 Ways to Leak Your Data
[1021] говорится, что 1325 приложений для операционной системы Android (из 88 000 исследованных) собирают и передают данные о местоположении и идентификаторы устройств, даже если пользователь отключил такие разрешения. Например, приложение Shutterfly извлекает GPS-координаты из метаданных фотографий и отправляет на собственные серверы, не получив разрешения на доступ к сведениям о местонахождении. Другие приложения, такие как смарт-пульты для телевизоров, собирают данные о местоположении, анализируя данные о подключении к сетям Wi-Fi и MAC-адрес роутера
[1022]. Кроме того, приложения могут ссылаться на другие программы, которые, в свою очередь, запрашивает собственные разрешения. Таким образом, приложение, не имеющее доступа к информации о местонахождении устройства, может получить эти сведения от связанного с ним стороннего приложения, имеющего такое разрешение
[1023]. В iOS тоже время от времени появляются приложения, занимающиеся сбором персональных данных без ведома пользователя.
КЕЙС В 2019 г. в магазине Apple App Store были обнаружены приложения, копирующие снимки экрана на пользовательских устройствах и фиксирующие ввод данных с клавиатуры и прикосновения к экрану, в том числе и в фоновом режиме. Некоторые приложения используют для работы сервис Glassbox, позволяющий не только записывать действия пользователя, но и затем воспроизводить их. В числе опасных приложений – клиенты магазинов Abercrombie & Fitch и Hollister, помощник путешественника Expedia, а также программы авиакомпаний Air Canada и Singapore Airlines и службы бронирования отелей Hotels.com. Приложения собирают информацию, не запрашивая необходимых разрешений и не сообщая о возможности сбора данных в уведомлении о политике конфиденциальности. Ко всему прочему из-за ошибок в приложении Air Canada произошла утечка незашифрованных паспортных данных и банковских реквизитов примерно 20 000 пользователей
[1024].
Разрешения
Существуют как обычные, так и потенциально опасные разрешения. К обычным относятся функции доступа в интернет, подключения к беспроводной сети и т. п. Потенциально опасные разрешения предполагают доступ к записям в календаре, камере, микрофону, контактам (в том числе и аккаунтам), данным о местоположении устройства, телефону (совершение вызовов, чтение/изменение журнала вызовов, IP-телефония и т. п.), датчикам на теле (например, в фитнес-браслетах), SMS-сообщениям и памяти (как встроенной, так и SD-картам). Ниже представлен список опасных разрешений, их описание и связанные с ними угрозы несанкционированных действий, в том числе копирования и изменения данных:
■ Календарь. Просмотр, добавление, изменение и удаление событий в календаре. Риск утечки сведений о событиях, отмеченных владельцем (посещенных мероприятиях, встречах и т. п.), памятных датах и намеченных им планах.
■ Камера. Запись изображения на встроенную камеру, основную или фронтальную.
■ Микрофон. Запись звука с помощью встроенного микрофона. Угроза перехвата телефонных переговоров и разговоров около устройства.
■ Контакты. Просмотр, добавление, изменение и удаление контактов в адресной книге. Рассылка спама тем, чьи контакты есть в списке, и прочие атаки против них. Риск установления личности владельца и связывания ее с людьми, чьи контакты обнаружены на устройстве. Кроме того, разрешение предполагает доступ к аккаунтам, используемым на устройстве, например Google, «Яндекс», Telegram или Facebook.
Примечание. На первый взгляд безобидные сведения, такие как список установленных приложений, могут повысить эффективность атаки, так как злоумышленник сможет выяснить достаток жертвы (например, определить, пользуется ли она приложениями со скидками или официальными клиентами компаний – производителей люксовых брендов), а также узнать дополнительную информацию о жертве (если, к примеру, она загрузила приложения определенных банков).
■ Местоположение. Доступ к данным о местонахождении устройства как примерным (на основе данных о базовых станциях мобильной сети и точках доступа Wi-Fi), так и более точным на основе данных GPS и ГЛОНАСС. Риск слежки за владельцем; наблюдения за его перемещениями, что в свою очередь может привести к раскрытию информации о местах работы, учебы, проживания.
