Microsoft предупредила о угрозе для более чем 50 млн пользователей Android

Специалисты Microsoft сообщили о серьезной уязвимости в популярном наборе инструментов для разработчиков, которая могла поставить под угрозу данные десятков миллионов пользователей Android, сообщает TechSpot. Речь идет о проблеме в EngageLab SDK — программном компоненте, который широко используют для реализации push-уведомлений и внутренних сообщений в приложениях.

По оценкам исследователей, уязвимые приложения были установлены примерно на 50 миллионах устройств, при этом как минимум 30 миллионов загрузок приходились на криптовалютные сервисы.

Проблема получила название "intent redirection vulnerability" и позволяла вредоносным приложениям обходить механизмы защиты Android. В частности, злоумышленники могли получить несанкционированный доступ к конфиденциальным данным, хранящимся на устройстве, включая учетные записи и финансовую информацию.

Механизм intent в Android отвечает за взаимодействие между приложениями или их компонентами, передавая данные и команды для выполнения определённых действий. Хотя любая программа может отправлять такие запросы, их обработка обычно ограничивается проверками прав доступа. Обнаруженная уязвимость фактически позволяла обойти эти ограничения.

Ошибка была обнаружена в апреле 2025 года в версии SDK 4.5.4, а исправление выпустили только в ноябре того же года в версии 5.2.1. Все приложения с уязвимым компонентом на данный момент уже удалены из Google Play Store.

В Microsoft отметили, что не нашли доказательств использования этой уязвимости в реальных атаках до её обнаружения. В то же время разработчикам настоятельно рекомендуют как можно скорее обновить SDK, чтобы избежать потенциальных рисков.

Эксперты подчеркивают, что этот случай демонстрирует масштабную проблему зависимости от сторонних компонентов. Использование внешних SDK значительно ускоряет разработку, однако одновременно создаёт дополнительные риски, особенно в сферах, связанных с цифровыми активами и финансовыми сервисами.