Des millions d'utilisateurs touchés : des applications de santé populaires divulguent vos données les plus personnelles

Nombreuses applications de santé mentale pour mobile avec des millions de téléchargements sur Google Play contenir vulnérabilités de sécurité ce qui pourrait exposer les informations médicales sensibles des utilisateurs

En fait, dans l'une des applications, des chercheurs en sécurité ont découvert plus de 85 vulnérabilités de gravité moyenne et élevée qui pourraient être exploitées pour compromettre les données de traitement et la confidentialité des utilisateurs.

Certains des produits sont compagnons d'intelligence artificielle conçu pour aider les personnes souffrant de dépression clinique, de diverses formes d'anxiété, de crises de panique, de stress et de troubles bipolaires.

Au moins six applications sur dix analysées affirment que les conversations ou les discussions des utilisateurs restent privées ou sont cryptées de manière sécurisée sur les serveurs du fournisseur.

Plus de 1 500 failles de sécurité ont été découvertes.

La Sursécurisé J'ai analysé dix applications mobiles présentées comme des outils pouvant aider à résoudre divers problèmes de santé mentale et ont révélé un total de 1 575 vulnérabilités sécurité (54 avec un niveau de gravité élevé, 538 gravité modérée et 983 faible gravité).

Bien qu'aucun des problèmes découverts ne soit critique, beaucoup peuvent être exploités pour voler des identifiants de connexion, envoyer de fausses notifications, Injection HTML ou pour identifier l'utilisateur.

Les chercheurs ont utilisé Scanner sursécurisé Vérifier les fichiers APK de dix applications de santé mentale afin d'y déceler des vulnérabilités connues dans des dizaines de catégories.

Dans un rapport partagé avec BleepingComputerSelon les chercheurs, certaines applications vérifiées « analysent les URI fournies par l'utilisateur sans validation suffisante ».

Une application de traitement comportant plus d'un millions de téléchargements utilise le Intent.parseUri() à une chaîne de caractères contrôlée de l'extérieur et initie l'objet de messagerie résultant (intention) sans valider l'élément cible.

Cela permet à un attaquant de forcer l'application à autoriser toute activité interne, même si elle n'est pas destinée à un accès externe.

Un autre problème réside dans le stockage local des données, qui permet à n'importe quelle application de l'appareil d'y accéder en lecture. Selon les informations stockées, cela pourrait exposer des détails relatifs au traitement, tels que les dossiers médicaux, les notes de séances de thérapie cognitivo-comportementale (TCC), etc.CBT) et diverses évaluations.

Η Sursécurisé Ils indiquent avoir également découvert des données de configuration en texte clair, notamment des points de terminaison d'API de support et une URL de base de données. Firebase avec du code intégré, dans les ressources de l'application (APK).

De plus, certaines applications vulnérables utilisent une cryptographie de classe non sécurisée. java.util.Aléatoire pour générer des jetons de session ou des clés de chiffrement.

Selon les chercheurs, la plupart des 10 applications ne présentent aucune forme de détection de root. Sur un appareil rooté (Jailbreaké), toute application disposant de privilèges root a accès à toutes les données de santé stockées localement.

Η Sursécurisé indique que six des dix applications analysées «Aucun problème de gravité élevée n'a été constaté, mais des problèmes de gravité moyenne ont néanmoins affaibli leur posture de sécurité globale.».

D'après ses observations BleepingComputer, le nombre total de téléchargements des applications analysées par Oversecured est supérieur à 14.7 millions Seules quatre ont été mises à jour ce mois-ci. Pour les autres, la dernière mise à jour remonte à novembre 2025, voire septembre 2024.

Ses examens Sursécurisé ont été réalisées entre le 22 et le 23 janvier Les chercheurs ont ciblé les dernières versions des applications disponibles à l'époque. Ils ne peuvent confirmer si les vulnérabilités découvertes ont été corrigées depuis.

La BleepingComputer ont refusé de divulguer les noms des applications concernées, car les vulnérabilités sont encore en cours de divulgation par Sursécurisé.

N'oubliez pas de le suivre Xiaomi-miui.gr à Google Actualités pour être informé immédiatement de tous nos nouveaux articles ! Vous pouvez aussi si vous utilisez un lecteur RSS, ajouter notre page à votre liste, simplement en suivant ce lien >> https://xiaomi-miui.gr/feed

Suivez-nous sur Telegram pour que vous puissiez être les premiers informés de notre actualité ! (Version anglaise ICI)