Роскачество провело анализ приложений «ВКонтакте», обещающих выяснить, кто заходил на страницу пользователя. Оказалось, что ни одно из них не выполняет обещанный функционал и не является безопасным.
Специалисты Роскачества узнали, можно ли с помощью сторонних приложений выяснить, кто заходил на страницу пользователя «ВКонтакте» и насколько опасны такие приложения. Из всех 56 изученных приложений этого типа (40 на платформе Android и 16 на iOS) ни одно не прошло тестирование, все они вводят в заблуждение по поводу основной заявленной функциональности.
Администрация «ВКонтакте» не раз объясняла, что приложений, которые могут показать вам данные о гостях, заходивших на вашу страницу, не существует. Тем не менее, сотни тысяч пользователей все равно устанавливают подобные сервисы.
С каждым приложением был проведен один и тот же эксперимент: на страницу тестового аккаунта заходил другой пользователь и проводил на ней какое-то время. Все 100% приложений не смогли определить и показать аккаунт, с которого заходили на тестовую страницу.
Главные опасности таких приложений – отсутствие гарантий конфиденциальности и вероятность списания денег с вашего счета. При этом, получив персональные данные или деньги пользователя, приложение может просто исчезнуть. Так, 10 из 56 приложений к моменту публикации исчезли из магазинов.
60% приложений базировались на турецких серверах. Среди приложений с турецкими корнями - «Настоящие Гости ВК», «Мои гости – Активность на странице Вк», «Мои поклонники ВК», «Search on Android for Twitter», «MyTopFans for Twitter».
Руководитель Центра цифровой экспертизы Роскачества Антон Куканов разъяснил, что происходит, если стороннее приложение проводит авторизацию не напрямую через сервер социальной сети, а через свой собственный сервер. «Представьте, вам надо открыть дверь в свою квартиру. В одном случае вы сами достаете ключи из своего кармана и вставляете их в скважину, открывая дверь. В другом – вы даете ключи незнакомцу и тот открывает дверь по вашей просьбе. Но вы не знаете, что этот незнакомец сделает до того, как открыть дверь. Возможно, он сделает слепок ключей и использует их в последствии в своих целях».
Условно бесплатными оказались 54 из 56 приложений. В «бесплатных» приложениях есть реклама, именно она позволяет их владельцам монетизировать свою деятельность. Реклама либо не отключается совсем, либо отключается за деньги. В приложениях «Поиск скрытых друзей для ВК – Сыщик для Вконтакте» и «Кто смотрел мои фото ВК?» отмечены показы баннеров, на которые легко нажать случайно, что опасно переходом на фишинговый или иной вредоносный сайт.
В двух приложениях с платной подпиской она неочевидна: пользователю лишь один раз демонстрируется окно с оформлением и не говорится о будущих тратах. Это чревато списанием денежных средств, которое станет сюрпризом для пользователя.
Избыточные разрешения – классическая уязвимость Android-устройств, где приложение может получать важный доступ без уведомления пользователей. Откровенно шпионских программ в ходе исследования обнаружено не было, но следует обратить внимание на приложения, которые получают доступы к камере, хранилищу и поиску других аккаунтов на устройстве - это потенциально шпионский функционал («ВК гости», «Мои гости – Активность на странице Вк», «Настоящие Гости ВК» и «Гости и Статистика из Вконтакте»).
Руководитель Центра цифровой экспертизы Роскачества Антон Куканов: «Главный потенциальный риск – передача данных своей учетной записи на сторонний сервер. Это чревато потерей аккаунта и всего, что в нем размещено (персональные данные, переписки и их содержание). А если пользователь применяет ту же связку «логин/пароль» и на других ресурсах – под угрозой оказываются все сервисы сразу. Помните, что, авторизовываясь в неофициальных приложениях (речь не идет о входе «с помощью или через соцсеть»), вы сознательно передаете данные своей учетной записи сторонним лицам, гарантий добросовестности которых нет.
Роскачество рекомендует: не устанавливайте такие приложения, а используйте только официальные мобильные клиенты.
