Роскачество опубликовало результаты нового исследования. На этот раз в поле зрения экспертов попали приложения по аренде самокатов и велосипедов.
Рынок аренды самокатов в России стремительно растёт – по прогнозам специалистов, до конца текущего года он вырастет на 300% - до 10 млрд рублей. Если в начале 2020 года в стране было не более 10 тысяч самокатов, то в апреле 2021-го – около 85 тысяч, и это не предел. О планах инвестировать в сервисы микромобильного транспорта заявили такие крупные компании, как Яндекс, mail.ru, МТС и Сбербанк. Однако большая часть транспорта – около 60 тысяч самокатов – приходится на сервисы Urent и Whoosh.
В настоящее время количество аварий с участием микромобильного транспорта растёт, в связи с чем правительство рассматривает вопрос о приравнивании самокатов к транспортным средствам. Это позволит ввести для них ограничения скорости и, как следствие, уменьшить число жертв. При этом приложений, позволяющих взять в аренду велосипед или самокат, становится всё больше.
Специалисты Роскачества совместно с юристами АНО «ПравоРоботов» проанализировали политику безопасности 68 кикшеринговых и велопрокатных сервисов (по 34 приложения для iOS и Android). Оценивалась безопасность по восьми критериям:
- Запрос минимально необходимых пользовательских данных;
- Запрос необходимых разрешений;
- Безопасность передачи данных приложения;
- Безопасность передачи пользовательских данных;
- Согласие на обработку и хранение данных;
- Ссылка на политику конфиденциальности;
- Сложность пароля;
- Удаление аккаунта.
Исследователи установили, что все изученные сервисы аренды велосипедов, кроме двух, имеют доступ в приложение по одноразовым SMS-кодам. Это повышает надежность и исключает риск того, что под сторонней учетной записью велосипед или самокат будут арендовать другие люди. Более низкий уровень безопасности продемонстрировали только сервисы «ВелоБайк - городской велопрокат Москвы» и «Велобайк Мультигорода». Эти приложения присылают разовый логин и PIN-код, который не меняется со временем.
При авторизации 21% сервисов онлайн-проката запрашивают расширенные данные запрашивает. В частности, приложения Rusharing, e-motion, ZEVS, e-GoGo, Flyfer, Берисамокат, Bike&Go требуют имя и фамилию. Единственным приложением, которое при регистрации просит фото паспорта или водительского удостоверения, - E-motion.
Что касается избыточных доступов, то наибольшее их количество было зафиксировано у BusyFly: осуществление телефонных вызовов, отключение спящего режима, а также запуск при включении устройства. BikeMe осуществляет поиск аккаунтов на устройстве, а ScooBee запрашивает разрешение на показ поверх всех окон - это один из самых потенциально опасных доступов.
Эксперты также установили, что единственным приложением, которое позволяет удалить аккаунт при помощи имеющихся в программе функций, является Whoosh. В случаях с другими сервисами нужно обращаться в службу поддержки.
Важнейшим принципом при предоставлении онлайн-услуг является согласие пользователя на обработку данных. В том или ином виде такое согласие запрашивают все исследованные приложения, при этом активное согласие запрашивают только 24%. «Мобильные приложения для аренды велосипедов и самокатов с низким уровнем защищенности способны поставить под удар большой объем чувствительных данных о пользователе, - рассказывает Даниил Чернов, директор центра Solar appScreener компании «Ростелеком-Солар». - Это могут быть ФИО, номер телефона, email, геолокация, номер банковской карты и другое. Защита этих сведений входит в зону ответственности разработчиков. Исследуемые популярные в России сервисы показали высокий уровень защищенности. При этом не стоит забывать, что каждая новая версия приложения требует анализа качества программного кода и его защищенности».
Никита Куликов, генеральный директор АНО «ПравоРоботов»: «Пользователи любых сервисов должны осознавать, что все их действия с приложениями, даже такие незначительные как разблокировка велосипеда или самоката, имеют свой цифровой след и определенные последствия. Так, почти все приложения делятся вашими данными с третьими лицами, пусть и обезличенными. В любом случае пользователю следует придерживаться общих принципов безопасности: следить за доступами, которые требует приложение, указывать только необходимый минимум данных о себе. Не следует отправлять сканы документов или привязывать платежные данные к подозрительным приложениям, в надежности которых пользователь не уверен».
Руководитель Центра цифровой экспертизы Роскачества Антон Куканов: «Исследованные приложения аренды велосипедов и самокатов в большинстве своем реализованы на высоком уровне и признаны в равной степени безопасными. Ни одно из замечаний, которые можно предъявить по результатам их анализа, не влияет на непосредственный пользовательский опыт. Единственный момент, на который стоит обратить внимание – не меняющийся со временем логин и PIN-код, который теоретически можно использовать для постороннего доступа».
В исследовании оценивались следующие приложения на двух мобильных платформах: Bike&Go, BikeMe, Bumerang (Lifcar), BusyFly, e-GoGo, Eleven, e-motion, Flyfer, GoBike Альметьевск, GreenBee, lite, LuckyBike, Matur.city, MOLNIA, Red Wheels, Rusharing, Samocat Sharing, ScooBee, Seagull, Shark Sharing, SmartBike, toGO, Urent, VEZU, Volt, Whoosh, YES Sharing, ZEVS, «Берисамокат», «ВелоБайк», «Велобайк Мультигорода», «Зеленый город», «Карусель», «Ситимобил».