По итогам 2018 года у 79% веб-приложений были выявлены уязвимости, которые могут приводить к утечке данных пользователей, говорится в ежегодном исследовании компании Positive Technologies (специализируется на кибербезопасности). К веб-приложениям могут относиться, например, личные кабинеты банков и сотовых операторов, интернет-магазины, сайты госорганов, вход на которые осуществляется с указанием персональных данных.
В предыдущие годы доля сайтов с потенциальными рисками была ниже: в 2017-м — 70%, в 2016-м — 60%.
В среднем на одно веб-приложение приходится 33 критически опасные уязвимости, что в три раза больше, чем по итогам 2017 года, говорится в исследовании. Всего же эксперты выявили 70 различных недостатков систем.
Наиболее распространенной уязвимостью аналитики назвали «межсайтовое выполнение сценариев». Этот недостаток систем позволяет злоумышленникам создавать копии страниц для сбора данных пользователей. «Данная уязвимость базируется на недостаточной проверке источника, отправляющего на сайт запрос на авторизацию. В итоге пользователь, отправив запрос, получает поддельную страницу, вводит данные, которые попадают к злоумышленнику. Поддельный сервис при этом вводит данные в настоящую форму, а пользователь ничего не замечает», — пояснил РБК представитель ГК InfoWatch, также специализирующейся на информационной безопасности.
Примерно в 80% веб-приложений эксперты обнаружили «ошибки конфигурации», когда система самого сайта раскрывает в своих стандартных параметрах информацию о пользовательском ПО и путях его установки, что дает возможность собрать информацию для дальнейшей атаки.
В основном уязвимости ищут в тех приложениях, которые представляют финансовый интерес, и в тех, на взлом которых нужно меньше времени, сказал РБК руководитель департамента интеграции системных решений Group-IB Антон Фишман. «Соответственно, наиболее очевидной мишенью становятся форумы и интернет-магазины, которые используют единые системы управления контентом. Это также социальные сети и порталы крупных компаний и интернет-гигантов», — пояснил эксперт.
.jpg)
.png)