Código HTML do Conteúdo
Post: 1 em cada 3 aplicativos Android vazam dados confidenciais - Against Invaders - Notícias de CyberSecurity para humanos.
<div>
<div>
<div>
<div data-edit-folder-name="text" data-index="0" data-layout-id="2" id="layout-dce7f190-eb69-46b3-9f80-5b3d93434df2">
<p>Uma parcela significativa dos aplicativos móveis está expondo informações confidenciais por meio de APIs inseguras, deixando usuários e empresas vulneráveis a ataques.</p>
<p>O <em>Relatório Global de Ameaças Móveis da Zimperium 2025, </em>publicado hoje, revelou que umem cada trêsAplicativos Android e mais da metade dos aplicativos iOS vazam dados que podem ser explorados.</p>
<p>Quase metade de todos os aplicativos ainda contém segredos codificados, como chaves de API, que permitem que os invasores façam engenharia reversa e os usem indevidamente depois que os aplicativos são publicados.</p>
<h2>Aplicativos móveis como uma superfície de ataque crescente</h2>
<p>O relatório descobriu que as fraquezas do lado do cliente estão alimentando novos caminhos para o abuso. Os invasores podem adulterar aplicativos, interceptar tráfego e explorar dispositivos comprometidos para contornar as defesas.</p>
<p>Outras descobertas importantes incluem:</p>
<ul>
<li>
<p>1 em cada 400 dispositivos Android está enraizado e 1 em 2500 dispositivos iOS está desbloqueado</p>
</li>
<li>
<p>3 em cada 1000 dispositivos móveis já estão comprometidos</p>
</li>
<li>
<p>1 em cada 5 dispositivos Android encontra malware na natureza</p>
</li>
<li>
<p>Quase 1 em cada 3 aplicativos financeiros Android e 1 em cada 5 aplicativos de viagem iOS permanecem abertos a ataques man-in-the-middle, apesar da fixação SSL</p>
</li>
</ul>
<p>“Os aplicativos móveis não consomem apenas APIs, eles as expõem”, afirmou o relatório.</p>
<p>“Sem visibilidade do aplicativo e do dispositivo que faz a chamada, os invasores podem […] Mapear e manipular o comportamento da API modificando o código do aplicativo […] Extraia segredos e tokens fazendo engenharia reversa do aplicativo [and] explorar controles no nível do dispositivo para simular o uso real.”</p>
<p><a href="https://www.infosecurity-magazine.com/news/99-organizations-report-api/" target="_blank"><em>Leia mais sobre os riscos de segurança da API: 99% das organizações relatam problemas de segurança relacionados à API</em></a></p>
<h2>Defesas de perímetro não são suficientes</h2>
<p>Ferramentas tradicionais, como firewalls, gateways de API e firewalls de aplicativos Web, podem bloquear determinadas ameaças no perímetro, mas não podem determinar se o tráfego é originado de um aplicativo genuíno ou de um clone adulterado. Esse ponto cego permite que os invasores falsifiquem identificadores de identidade, localização e dispositivo, fazendo com que as chamadas de API maliciosas pareçam legítimas.</p>
<p>“Do ponto de vista da segurança, precisamos garantir que os dispositivos móveis tenham proteções básicas, não apenas para a organização, mas também para os próprios usuários”, disse Randolph Barr, CISO da Cequence Security.</p>
<p>“No mínimo, isso significa garantir que um bloqueio de tela esteja ativado, as atualizações sejam aplicadas em tempo hábil e que os dispositivos não sejam enraizados ou desbloqueados.”</p>
<h2>Fechando as lacunas</h2>
<p>O relatório da Zimperium enfatizou que a proteção das APIs deve começar dentro do próprio aplicativo móvel. Salientou duas abordagens essenciais:</p>
<ul>
<li>
<p>Um<strong>Endurecimento PI</strong>: Protegendo endpoints, tokens e lógica de negócios com ofuscação, armazenamento seguro e defesas de tempo de execução</p>
</li>
<li>
<p><strong>Atestado de aplicativo</strong>: Validar se cada chamada de API vem de um aplicativo genuíno e não adulterado em execução em um ambiente confiável</p>
</li>
</ul>
<p>“Hoje, estamos enfrentando uma realidade preocupante: muitos aplicativos móveis corporativos ainda carecem de proteções básicas, como ofuscação de código, armazenamento seguro e bibliotecas de terceiros atualizadas”, explicou Vishrut Iyengar, gerente sênior de soluções da Black Duck.</p>
<p>“Essas fraquezas permanecem exploráveis mesmo em ambientes corporativos gerenciados.”</p>
<p>David Matalon, CEO da Venn, ecoou as opiniões de Iyengar: “O perímetro tradicional se foi, e a realidade do Bring Your-Own-Device para trabalhadores remotos requer uma mudança de estratégia: de proteger o dispositivo para proteger o trabalho em si”.</p>
</div>
</div>
</div></div>