Как генеративный ИИ и сторонние SDK подорвали безопасность данных

📈 Цифры 2025 года: 48,8 тыс. уязвимостей и рост 63%

Исследование охватило несколько сотен наиболее популярных мобильных приложений из различных сегментов — от игр до банковского софта. Основные выводы:

• Общее количество выявленных уязвимостей в 2025 году составило 48 800 против 29 900 годом ранее.
• Критические уязвимости — более 19 000 (почти 40% от общего числа).
• Высокий уровень опасности — дополнительно около 22% всех дефектов.
• Лишь 16% протестированных приложений не содержали серьёзных проблем (имели только низкорисковые или умеренные уязвимости).

🤖 Главный виновник — ИИ-генерируемый код

По данным аналитиков, использование языковых моделей для автоматической генерации кода стало системным фактором ухудшения безопасности. Нейросети, особенно популярные LLM, обучены на огромных массивах кода из открытых репозиториев, которые часто содержат устаревшие и уже известные уязвимые паттерны. В результате разработчики, ускоряя процесс написания приложений, копируют и тиражируют опасные конструкции, связанные с хранением токенов, ключей шифрования и персональных данных.

📱 Самые уязвимые категории: игры, стриминг, финансы и бизнес

Распределение уязвимостей по категориям приложений оказалось неравномерным. Наибольшее количество проблем зафиксировано в следующих сегментах:

• 🎮 Игры — лидер по абсолютному числу уязвимостей (более 12 тыс.), в основном из-за небезопасного хранения внутриигровых токенов и покупок.
• 📺 Стриминговые платформы и онлайн-кинотеатры — более 9 тыс. уязвимостей, связанных с защитой контента и пользовательских подписок.
• 🏦 Финансы и банкинг — почти 8 тыс. уязвимостей, но самое опасное — взрывной рост критических дефектов (см. ниже).
• 📊 Приложения для бизнеса — около 5,5 тыс., включая утечки корпоративных данных.
• 📰 СМИ и новостные агрегаторы — более 4 тыс., зачастую связанные с трекерами и утечками персональных данных.

🏦 Банковский сектор под ударом: рост опасных уязвимостей в 10 раз за три года

Особую тревогу вызывает ситуация в финансовом сегменте. За последние три года количество опасных уязвимостей в банковских приложениях выросло почти в десять раз — с примерно 200 случаев в 2022 году до 1 921 случая в 2025 году.

Эксперты связывают резкий скачок с тем, что банки и финансовые организации стремятся к цифровой трансформации быстрее конкурентов, жертвуя безопасностью ради скорости выпуска новых функций. Часто проверки безопасности (security assessments) проводятся формально или уже после релиза, когда уязвимости находят злоумышленники.

🔑 Типичные опасности: небезопасное хранение токенов, ключей и персональных данных

Среди всех выявленных проблем лидируют три категории:

• Небезопасное хранение токенов аутентификации (JWT, OAuth-токенов) — более 35% критических уязвимостей.
• Жестко заданные ключи шифрования и пароли в коде (hardcoded secrets) — около 28%.
• Утечки персональных данных через логи и нешифрованные кеши — более 22%.

По данным одного из центров мониторинга киберугроз, 75% приложений содержат уязвимости, позволяющие злоумышленникам получить доступ к конфиденциальной информации пользователей — от адресов и номеров телефонов до платежных реквизитов.

🧩 Что предлагают эксперты: от разовых проверок к риск-ориентированному подходу

Для перелома негативной тенденции руководитель одного из продуктов в области безопасности приложений предлагает переход от эпизодических проверок к системному риск-ориентированному управлению уязвимостями. Ключевые меры:

1. Безопасное управление секретами (secrets management) — использование специальных хранилищ ключей и токенов, автоматическая ротация секретов.
2. Ротация ключей и сертификатов на регулярной основе, без участия разработчика.
3. Контроль сторонних компонентов (SCA — Software Composition Analysis) — автоматический анализ всех используемых библиотек и SDK на известные CVE.
4. Защита среды исполнения (RASP — Runtime Application Self-Protection) — встраивание защитных механизмов непосредственно в приложение.
5. Регулярный SAST и DAST с приоритизацией по бизнес-риску, а не по количеству найденных багов.

📉 Примеры из практики: утечки, которых можно было избежать

Хотя исследование не приводит конкретных кейсов, эксперты обращают внимание на типичные сценарии атак, которые стали возможны из-за описанных уязвимостей:

• Извлечение токенов доступа из кэша приложения на «рутированных» устройствах.
• Перехват API-запросов с последующей подменой параметров (инъекции в JSON, SQL-подобные атаки).
• Доступ к незашифрованным локальным базам данных SQLite, где хранятся имена, адреса и история заказов.
• Использование hardcoded ключей для расшифровки трафика между приложением и сервером.

По оценкам, средний ущерб от утечки данных через мобильное приложение для среднего бизнеса может достигать 5–15 млн рублей с учётом штрафов, репутационных потерь и компенсаций клиентам.

📌 Что делать разработчикам и владельцам приложений прямо сейчас

На основе выводов исследования можно сформулировать практические шаги для снижения рисков:

• Не доверять ИИ-коду без проверки — любые фрагменты, сгенерированные нейросетью, должны проходить автоматический SAST-анализ.
• Внедрить политику безопасной разработки (SSDLC) с обязательными проверками на каждом этапе CI/CD.
• Проводить пентесты перед каждым крупным релизом, а не раз в год.
• Обучать команду основам безопасного кодирования и регулярно обновлять знания о новых типах уязвимостей (OWASP Top 10 Mobile).
• Минимизировать количество сторонних SDK — каждое подключение должно быть обосновано, а код библиотеки проанализирован.

🔮 Прогноз на 2026–2027: волна уязвимостей не спадает

Руководитель одного из направлений безопасности приложений прогнозирует, что в 2026 году число уязвимостей продолжит расти, причём темпы могут даже увеличиться. Причины:

• массовый переход компаний на ИИ-ассистентов разработки (Copilot, Cursor и аналоги);
• усложнение архитектуры приложений (микросервисы, контейнеризация, облачные интеграции);
• дефицит AppSec-инженеров, который не покрывается даже ростом зарплат;
• отсутствие жёсткого регулирования в области безопасности мобильных приложений.

Остановить рост, по мнению аналитиков, может только переход от разовых проверок к системному риск-ориентированному подходу, а также внедрение механизмов автоматического исправления уязвимостей в рантайме. Некоторые крупные игроки уже начинают пилотировать RASP-решения, однако для массового рынка это пока дорого и сложно.