Медицинские приложения Android: уязвимости данных угрожают миллионам

По данным исследования, проведенного с использованием инструментов MobSF, RiskInDroid и OWASP Mobile Audit, мобильные приложения в сфере здравоохранения на платформе Android демонстрируют серьезные уязвимости в защите пользовательских данных. Анализ 272 приложений, отобранных из Google Play, выявил системные проблемы в шифровании, управлении разрешениями и конфигурации сетевых настроек.

Методология и ключевые этапы исследования

Для формирования выборки специалисты использовали 20 ключевых запросов, включая термины вроде «медицинские приложения», «телемедицина» и «трекеры фитнеса». Из каждой категории были взяты топ-30 приложений, что позволило собрать данные о 272 продуктах.

Три этапа анализа включали:

• Статическую проверку безопасности с помощью MobSF, которая оценивала настройки сети, шифрование, конфигурации манифеста и выявляла уязвимости по классификации CWE.
• Анализ разрешений через RiskInDroid, который сопоставлял декларированные разрешения с фактическими API-вызовами, выявляя скрытые каналы передачи данных.
• Тестирование по OWASP Mobile Top 10, где проверяли уязвимости, такие как хранение данных без шифрования, слабые учетные записи и отсутствие валидации ввода.

Результаты и выявленные уязвимости

MobSF присвоила приложениям оценки от 35 до 60 баллов из 100, что указывает на широкомасштабные проблемы. Наиболее частыми уязвимостями стали:

• Разрешения с высоким риском: 221 приложение использовало POST_NOTIFICATIONS, 204 — запись на внешнее хранилище, 146 — доступ к точному местоположению.
• Слабое шифрование: 134 приложения были уязвимы к атаке Janus, 58 — использовали устаревший алгоритм SHA1-RSA, 9 — MD5.
• Несанкционированные передачи данных: 529 приложений включали сторонние SDK, которые могли собирать идентификаторы устройств или передавать данные без явного согласия.

RiskInDroid и OWASP Mobile Audit дополнили картину:

• Все протестированные приложения применяли недекларированные разрешения, включая отправку SMS и доступ к настройкам системы.
• В среднем каждое приложение содержало 44 критических уязвимости, а один продукт — 11 000 высокочастотных проблем.

Системные проблемы и рекомендации

Исследователи выделили три ключевых тренда:

1. Интеграция трекинговых библиотек, которые собирают больше данных, чем необходимо.
2. Отсутствие требований к минимальным стандартам шифрования в магазинах приложений.
3. Необновленные сетевые настройки, оставляющие активными небезопасные соединения.

Рекомендации включают:

• Интеграцию автоматизированных сканеров безопасности в процессы публикации приложений.
• Использование сильного шифрования, проверку сертификатов и удаление избыточных разрешений.
• Расширение регулирования на приложения, собирающие медицинские данные, но не подпадающие под медицинские стандарты.

Интересно: Как обеспечить защиту пользовательских данных в мобильных приложениях, если их разработка ориентирована на скорость, а стандарты безопасности остаются необязательными?

i

Создано специально для ASECTOR

Концептуальное изображение

Уязвимости медицинских приложений: скрытые механизмы и долгосрочные риски

Скрытые мотивы разработчиков и платформ

Разработчики мобильных приложений в сфере здравоохранения сталкиваются с давлением на скорость выхода продукта на рынок. Это приводит к минимизации затрат на безопасность: вместо внедрения современных алгоритмов шифрования (например, TLS 1.3) используются устаревшие протоколы (SHA1-RSA, MD5), что снижает риски утечек данных, но увеличивает уязвимости. Google Play, в свою очередь, не навязывает строгие требования к безопасности, чтобы не ограничивать количество приложений в магазине. Результат — рынок перенасыщен продуктами с минимальной защитой, что выгодно разработчикам, но создает системный риск для пользователей.

Важный нюанс: Отсутствие стандартов безопасности в магазинах приложений формирует экосистему, где уязвимости становятся неисправимой чертой, а разработчики ориентируются на краткосрочную монетизацию, игнорируя долгосрочные последствия.

Домино-эффект: от утечек данных к кризису доверия

Уязвимости в медицинских приложениях запускают цепочку последствий. Например, передача данных через сторонние SDK без согласия пользователей может привести к утечке персональных медицинских записей, что в России, где активно развивается цифровое здравоохранение, создает риски для государственных систем. В смежных отраслях — страхование, фармацевтика — такие утечки могут использоваться для манипуляций (например, завышение тарифов за страхование). Неочевидные победители — компании, предлагающие решения по аудиту безопасности и шифрованию, а также консультанты по кибербезопасности, которые получают спрос из-за роста инцидентов.

Парадоксы и противоречия в реализации

Декларируемые разрешения в приложениях часто не соответствуют реальным действиям. Например, приложение может запрашивать доступ к камере, но на деле использует его для передачи данных о местоположении. Это указывает на недостаток прозрачности и контроля. Еще один парадокс — использование алгоритмов шифрования, признанных устаревшими (например, MD5), несмотря на доступность современных методов. Причины: ограниченные ресурсы разработчиков, отсутствие требований со стороны магазинов приложений и отсутствие санкций за нарушения.

Важный нюанс: Медицинские данные становятся новой «валютой» для киберпреступников, а текущая система безопасности приложений — слабым звеном, которое сложно закрыть без радикальных изменений в регулировании и бизнес-моделях разработчиков.

Российский контекст: риски для государственных проектов

В России цифровизация здравоохранения (например, проект «ЕГИССЗ») предполагает использование мобильных приложений для управления пациентами. Если такие приложения будут содержать уязвимости, это подорвет доверие к государственным системам и создаст риски для инфраструктуры. Для бизнеса критично внедрить автоматизированные сканеры безопасности (MobSF, OWASP) на этапе разработки и отказаться от сторонних SDK без прозрачного аудита. Регуляторам, вероятно, придется вводить обязательные стандарты шифрования и проверки приложений, аналогично требованиям в ЕС (GDPR).

Новое правило: безопасность становится обязательной

История с уязвимыми медицинскими приложениями показывает, что рынок больше не может позволить себе «опциональную» безопасность. В будущем ожидается:

1. Стандартизация требований к шифрованию и проверке приложений в магазинах.
2. Рост спроса на аудиторов и специалистов по кибербезопасности в медицинской сфере.
3. Интеграция автоматизированных инструментов (MobSF, RiskInDroid) в процессы разработки как обязательный этап.

Важный нюанс: В ближайшие 3–5 лет медицинские приложения перейдут от «разработки с минимальной защитой» к «безопасности как фундаментальной функции», что изменит бизнес-модели разработчиков и регулирование рынка.

Новые данные: угрозы и решения

Недавние исследования подчеркивают масштабы угроз:

• Рост атак на Android-устройства в России увеличился в 36 раз (Mamont) и в 5 раз (Triada) в 2025 году.
• Новые трояны, такие как RatOn, позволяют красть финансовые данные и блокировать устройства.
• Уязвимости в системах Android (например, OnePlus) дают доступ к SMS без согласия.
• Google усиливает контроль над приложениями, требуя проверку идентичности разработчиков.

Для медицинских приложений это означает:

• Необходимость внедрения многофакторной аутентификации (MFA) и микросегментации (рекомендации эксперта Ochsner Health).
• Ускорение перехода на защищенные протоколы (TLS 1.3) и отмены устаревших алгоритмов (SHA1-RSA).
• Интеграция автоматизированных сканеров в процессы публикации приложений.

Ключевой вывод: Безопасность мобильных приложений в здравоохранении требует системного подхода — от строгих стандартов разработки до активного участия регуляторов и бизнеса.