Надеюсь, то самое приложение - это не Каспи 🙂

Дело раскрыто.

@askarsyzdykov Если в течении месяца не починят уязвимости то предлагаю назвать имя банка! =)

надеюсь что релизнут в начале след года

А ваще было бы круто если все казахстанские приложухи которые работают с деньгами так проверить!

Поражает незамутненность разработчиков. Интересно, о чем они думали, когда составляли план работы?

- Итак, у нас самый популярный банк и миллионы пользуются нашими услугами. Хакеры могут заинтересоваться взломом и присвоить чужие деньги пользователей. Есть мысли?
- Хмм. А давайте обойдемся без обфускации и не будем шифровать sharedPreferences?
- Отличная идея! Повысьте этому чуваку зарплату!

gg

В google play два с половиной приложений банков Казахстана.

А нет, три с половиной

Они наиболее популярные и подумал, что он бы сначала с них начал тестить приложения на уязвимость

Другими банками настолько никто не пользуется, что нет смысла их тестить. По крайней мере в моем окружении.

В части шифирования и прочего согласен, но вопрос, как вы собрались взламывать без доступа к девайсу?

Прочитал статью

Страшилка для ребят которые в безопасности ни в зуб ногой. В целом приложение не самый интересный источник для поиска векторов атаки. Есть гораздо более интересные и действенные варианты.

1. я не собираюсь взламывать ;)
2. кому нужно достучаться до данных/денег, тот может и украсть устройство (на время/навсегда), я так это вижу)

ок, давайте не будем защищать наши аппы)

прошу заметить, что я не сравнивал атаку на моб аппу и на бэк, т.к нет в этом экспертизы. Кому-то статья может показаться наивной, но мне не понадобилось много времени, чтобы найти то, что я нашел. И, кстати, разработчики согласились, что это уязвимости :)

Я согласен что защищать нужно, но моя точка зрения заключается в следующем. 1) Личные данные пользователя достаточно просто найти в других источниках. 2) Забрать деньги из девайса скорее всего не получится, а если и так, то только потому что пользователь не заблокировал свои карточки. 3) В самом приложении вряд ли хранится из данных что то совсем уж критичное, так как на операции в любом случае будет 2х факторная авторизация. И последнее 4) Обфускация от реверс инжиниринга не спасет никак. Только слегка замедлит процесс.

В общем в банке взлом клиентской части не приведет ни к чему чтобы была возможность вывести деньги. Гораздо страшнее если дырявый бэк. Но тут ситуация получше будет