В Android-приложении «Госуслуги Москвы» обнаружена уязвимость

[душман]

Специалисты компании Postuf, работающей в сфере информационной безопасности, обнаружили уязвимость в мобильном приложении «Госуслуги Москвы» для платформы Android. Её эксплуатация позволяла получить доступ к данным, которые пользователи указали на сайте сервиса, в том числе ФИО, адресам почтовых ящиков, номерам полиса ОМС и СНИЛС, списку имущества и др.

Кроме того, по номеру полиса ОМС можно было получить доступ к разного рода медицинским данным, в том числе о посещаемых врачах, выписанных рецептах и др. Источник отмечает, что уязвимость позволяла не только просматривать данные, но и вносить в них корректировки. Причём для пользователей такие изменения могли остаться незаметными, поскольку система не уведомляет пользователей о внесённых правках.

Как долго существовала обнаруженная специалистами уязвимость и использовалась ли она злоумышленниками на практике, неизвестно.

Специалисты отмечают, что нанести серьёзный вред, зная данные с портала нельзя, но они могут быть скорректированы таким образом, что во владении ничего не подозревающего пользователя платформы появится, например, какое-то несуществующее имущество. Кроме того, персональные данные, хоть и не позволяют напрямую красть деньги, могут использоваться злоумышленниками для фишинговых атак.

В департаменте информационных технологий Москвы, специалисты которого разрабатывали портал mos.ru, не подтвердили наличие уязвимости, отметив, что авторизация в мобильном приложении «Госуслуги Москвы» без указания пароля невозможна. Несмотря на это в сообщении сказано, что после отправки запроса в ДИТ уязвимость была устранена.