Число критических уязвимостей в финансовых приложениях выросло в 10 раз с 2023 года

В 2023 году в приложениях компаний финансового сектора (банки, микрофинансовые организации, страховые компании) аналитики обнаружили 4500 уязвимостей, 183 из которых носили критический характер. В 2024 году число обнаруженных уязвимостей снизилось до 1583, но критическими из них были признаны уже 569. Наконец, последнее исследование выявило 3555 уязвимостей, из которых уже 2006 были признаны уязвимыми. Таким образом, с 2023 года число опасных уязвимостей выросло почти в 11 раз. Анализ приложений проводила компания AppSec Solutions, пишут «Ведомости».

Финансовые приложения — традиционные лидеры по количеству обнаруженных уязвимостей, говорит руководитель отдела анализа защищенности мобильных приложений AppSec Solutions Никита Пинаев. По его словам, это связано с тем, что разработчики таких инструментов зашивают чувствительную информацию непосредственно в код приложения, в результате злоумышленники могут выявить конфиденциальные данные при помощи декомпиляции кода.

Вместе с тем уязвимости в приложениях компаний финансового сектора свойственны не только российскому рынку, а носят глобальный характер. В исследовании технологической группы Thales говорится, что в первом полугодии 2025 года из всех атак через API (Application Programming Interface), то есть через интерфейс приложения, а не через его пользователя, 27% пришлись на инструменты финансового сектора.

Рост количества обнаруженных уязвимостей в коде связан, во-первых, с тем, что и эксперты, и мошенники стали использовать кратно больше средств для их обнаружения, а, во-вторых, с действиями самих разработчиков. Последние, поясняет руководитель отдела защиты информации InfoWatch ARMA Роман Сафиуллин, иногда могут использовать шаблонные и не проверенные должным образом решения, а иногда они так ограничены во времени, предоставленном для разработки, что в итоге страдает качество проверки собственного кода.