🔐 Волна утечек в Японии: эндпоинты и ключи API достают из публичных приложений

8 октября JPCERT/CC предупредил о серии крупных утечек персональных данных с сентября. Один из сценариев: атакующие разбирают мобильное приложение, находят эндпоинты и ключи API и бьют по внутренним API, недоступным через экраны приложения.

👉 Что делают. Меняют права пользователей, создают аккаунты, шлют запросы без заголовков и с битыми токенами, ищут аккаунты через blind NoSQL injection, используют украденные ключи

👉 Масштаб. 10,8 млн записей Yakiniku King, ~6,6 млн аккаунтов каршеринга Times Car. Как их взломали, пока не раскрыто

👉 Советы JPCERT. Проверять доступ на каждом эндпоинте, включая «непубличные». Лимиты на логин, сброс пароля, SMS и поиск. Минимальные права, короткоживущие токены, быстрый отзыв

👉 Для клиента. Секретным ключам и доступам к БД не место в APK: обфускация их не спрячет

🔗 Алерт JPCERT/CC (яп.)
🔗 Разбор The Hacker News

#Android #AndroidDev #Security #API