Специалисты «Лаборатории Касперского» проанализировали 69 сторонних мобильных приложений для подключённых автомобилей и определили основные угрозы, с которыми могут столкнуться водители при их использовании. Эксперты обнаружили, что более половины (58%) таких программ, запрашивая учётные данные автовладельцев, не предупреждают о возможных угрозах конфиденциальности. В пятёрку автомобильных марок, управление которыми чаще всего предлагают сторонние приложения, входят Tesla, Nissan, Renault, Ford и Volkswagen.

Мобильные приложения для подключённых автомобилей позволяют водителям удалённо управлять средством передвижения, например дистанционно запускать двигатель, запирать или отпирать двери, обогревать салон. У большинства автомобильных брендов есть собственные приложения, но сторонние имеют свои преимущества для водителей, так как предлагают дополнительные функции.

Чтобы обезопасить данные, некоторые разработчики сторонних приложений предлагают использовать уникальный программный ключ (токен), используемый для авторизации вместо имени пользователя и пароля. Однако, если такой токен окажется скомпрометирован, злоумышленники смогут получить доступ к автомобилю пользователя точно так же, как если бы они использовали обычные учётные данные. Таким образом, токены авторизации не обеспечивают полной безопасности, а автовладелец рискует потерять контроль над своей машиной. При этом только 19% разработчиков говорят о рисках открыто, не пытаясь завуалировать информацию с помощью мелкого шрифта.

Также в «Лаборатории Касперского» обнаружили, что в каждом седьмом (14%) приложении нет информации о том, как связаться с разработчиками или оставить отзыв. Это исключает возможность сообщить о проблеме или запросить дополнительную информацию. Отсутствие контактных данных может быть связано с тем, что часто подобные приложения разрабатывают энтузиасты, которые, в отличие от официальных производителей автомобилей, не обязаны заботиться о сохранности данных своих пользователей.

Эксперты «Лаборатории Касперского» отмечают, что 46 из 69 приложений либо являются бесплатными, либо предлагают попробовать деморежим. Этот факт в сочетании с количеством скачиваний — только из Google Play к сегодняшнему дню их скачали более 230 тысяч раз — даёт представление о том, сколько автовладельцев потенциально могли открыть для злоумышленников возможность доступа к своим автомобилям.

«Подключённые автомобили обладают множеством преимуществ, однако с их использованием связаны и определённые риски. Пользователям сторонних приложений для управления автомобилем стоит знать о потенциальных угрозах. К сожалению, не все разработчики ответственно подходят к хранению, сбору и защите персональных данных, в результате чего те могут оказаться в руках злоумышленников. При худшем сценарии это может нести опасность для жизни человека. Мы призываем разработчиков приложений включить защиту пользовательских данных в список своих приоритетов и принять меры предосторожности, чтобы не подвергать риску своих клиентов и самих себя», — прокомментировал Сергей Зорин, глава департамента транспортных систем в «Лаборатории Касперского».

Чтобы обезопасить приложения для подключённых автомобилей, специалисты «Лаборатории Касперского» рекомендуют разработчикам соблюдать меры безопасности:

  • внедрять решения, обеспечивающие безопасность процесса разработки ПО с помощью контроля приложений во время выполнения их работы, сканирования на наличие уязвимостей перед развёртыванием, регулярной проверки безопасности контейнеров и тестирования производственных артефактов на наличие вредоносных программ. В связи с тем, что в последнее время участились атаки на цепочку поставок через общедоступные репозитории, процесс разработки нуждается в усиленной защите;
  • использовать решение Kaspersky Security для виртуальных и облачных сред, которое защищает контейнеры Docker и Windows и обеспечивает подход ‘security as code’ (безопасность как код) с защитой памяти узла контейнеризации, задачами для контейнеров, сканированием изображений и интерфейсами с поддержкой сценариев. Это даёт возможность интегрировать задачи безопасности в пайплайны CI/CD, не влияя на процесс разработки;
  • внедрять в приложения механизмы защиты. Решение Kaspersky Mobile Security SDK защищает данные клиентов, помогает обнаружить вредоносные программы и обеспечить безопасное подключение.

Для пользователей также есть несколько рекомендаций:

  • загружайте приложения только из официальных магазинов. Это тоже может быть не безопасно, но их представители по крайней мере проводят проверку и фильтрацию;
  • проверяйте, какие доступы вы предоставляете приложениям, особенно когда речь идёт об Accessibility Services (функция «Специальные возможности» на Android). Например, приложению «Фонарик» нужен доступ только к светодиоду на тыльной стороне устройства, но никак не к контактам пользователя;
  • используйте надёжное защитное решение, которое умеет обнаруживать вредоносное и рекламное ПО до того, как оно нанесёт вред вашему устройству, например Kaspersky Internet Security для Android;
  • регулярно обновляйте операционную систему и всё используемое программное обеспечение. Многие проблемы безопасности можно решить, установив обновлённые версии ПО.