Почему приложения доставки еды стали угрозой для ваших личных данных

Когда приложение «помнит» за вас пароль — и не только за вас

Скорее всего, хотя бы раз вы заказывали еду через приложение, не задумываясь о том, где хранится ваша карта, логин или адрес доставки. Я тоже — и именно поэтому исследование AppSec Solutions, о котором сообщает CNews, заставляет остановиться и посмотреть на привычный сценарий заказа свежим взглядом. Специалисты компании проверили 89 наиболее популярных мобильных сервисов доставки еды и продуктов и обнаружили 3 585 уязвимостей. Более трети из них признаны критическими — и речь не о теоретических рисках, а о вполне конкретной практике: конфиденциальные ключи и учётные данные оказались записаны в открытом виде прямо в коде сборки приложений. Для аудитории, которая ежедневно доверяет таким сервисам платёжные данные и домашний адрес, это сигнал пересмотреть собственные привычки цифровой гигиены.

Что именно нашли и почему это болит пользователя

Главная проблема, которую выявила AppSec Solutions, звучит технически, но на практике означает простую вещь: логины, пароли и токены доступа лежат в том же приложении, которое вы открываете на смартфоне, — просто зашиты внутрь кода. Это примерно как хранить ключ от квартиры под ковриком: формально дверь заперта, но каждый, кто знает, где смотреть, получает доступ.

Для пользователя это выливается в несколько ощутимых рисков. Если злоумышленник извлечёт зашитые ключи, он сможет подглядеть историю заказов, получить доступ к привязанной карте или даже перехватить сессию. И здесь важен не масштаб конкретной уязвимости, а сам подход к хранению данных — он показывает, насколько серьёзно разработчик относится к безопасности. Когда в коде сборки обнаруживается более трёх с половиной тысяч дефектов, речь уже не о единичной ошибке, а о системной проблеме индустрии, где скорость вывода продукта на рынок часто обгоняет заботу о защите пользователя.

Что проверить и как снизить риски прямо сейчас

Раз уязвимости обнаружены в массовом сегменте, разумно предположить, что часть популярных приложений доставки, которыми мы пользуемся каждый день, может быть в списке. Что можно сделать, не дожидаясь публикации полного перечня пострадавших сервисов?

Во-первых, включите двухфакторную аутентификацию везде, где она доступна: даже если токен сессии окажется скомпрометирован, второй фактор остаётся барьером. Во-вторых, не привязывайте к приложению доставки основную банковскую карту — используйте виртуальную с ограниченным лимитом или сервисы вроде Apple Pay и Google Pay, где данные карты не передаются напрямую продавцу. В-третьих, регулярно проверяйте уведомления от банка: если списание выглядит подозрительно, быстрая реакция экономит нервы и деньги.

С точки зрения онбординга и повседневного UX это ещё и вопрос доверия. Мы привыкли к бесшовному опыту: «один клик — и ужур у двери», — но за этим удобством стоит цепочка данных, которые должны быть защищены не хуже, чем в банковском приложении. Если сервис просит разрешить доступ к геолокации, контактам и камере, а в фоне хранит ключи в открытом тексте, когнитивная нагрузка от осознания этого диссонанса — серьёзная боль пользователя, которую индустрии ещё предстоит осознать.

Исследование AppSec Solutions — хороший повод не отказываться от доставки, но начать выбирать сервисы не только по скорости курьера и размеру скидки, а ещё и по тому, как компания заботится о безопасности тех данных, которые вы ей доверяете. Это тот самый случай, когда вопрос «а как у вас с защитой?» в чате поддержки — не паранойя, а разумная привычка цифрового взрослого.