Коротко: Хакерская группировка ShinyHunters при помощи ИИ-агента просканировала 1,8 миллиона Android-приложений — и добыла миллионы платёжных данных, сотни тысяч национальных идентификаторов и доступы к десяткам миллионов записей пассажиров. Атаку задокументировал Anthropic в отчёте об угрозах за сентябрь 2026 года. Это не корпоративный инцидент — это непосредственная угроза каждому владельцу Android-смартфона.
Что произошло
В сентябре 2026 года компания Anthropic опубликовала отчёт об угрозах, раскрыв, как участник группировки ShinyHunters использовал ИИ Claude для масштабного сбора секретных данных из мобильных приложений. Оператор (псевдонимы: MeowSHA, frkoo, blazespider — предположительно франкоязычный) развернул автоматизированный конвейер на 10 серверах AWS EC2, который действовал так:
- автоматически скачивал Android-APK из множества источников — официальных и неофициальных магазинов приложений;
- декомпилировал каждый пакет и сканировал исходный код инструментом TruffleHog в поиске жёстко прописанных секретов (ключей API, токенов, паролей, строк подключения к базам данных);
- в режиме реального времени сортировал находки по типу и отправлял их в Telegram-группы для немедленного использования.
Всего было обработано 1,8 миллиона уникальных APK-файлов. Для управления конвейером применялась техника «vibe hacking»: вместо жёстких команд оператор ставил ИИ общие цели — тот самостоятельно писал и выполнял скрипты, анализировал результаты и повторял цикл без участия человека. По данным Anthropic, обнаружив злоупотребление, компания заблокировала аккаунты и передала информацию правоохранительным органам.
Какие данные оказались под угрозой
Масштаб утечки оказался исключительным. По данным из отчёта Anthropic, результатом кампании стало следующее:
- более терабайта данных, включая сотни тысяч государственных идентификаторов (паспортные данные, идентификационные номера);
- миллионы записей платёжных карт, скомпрометированных через жёстко прописанные ключи платёжных API;
- доступ к системе авиакомпании, хранящей десятки миллионов данных пассажиров;
- свыше 2 100 наборов токенов Azure Active Directory из более чем 40 корпоративных тенантов — собрано всего за 34 часа.
Корпоративные токены Azure AD и ключи API, найденные в мобильных приложениях, открывают путь к облачным базам данных, где хранятся персональные данные обычных пользователей. Ваши данные могли оказаться в руках злоумышленников через приложение, которое вы просто установили на телефон.
Почему секреты оказываются в Android-APK
Жёстко прописанные секреты в мобильных приложениях — давно известная, но массово игнорируемая проблема. Разработчики встраивают в код ключи API, строки подключения к базам данных, токены и пароли по нескольким причинам:
- нехватка времени или культуры безопасности в команде;
- сложность управления секретами в мобильной среде — в отличие от серверного ПО, у мобильного приложения нет защищённого окружения;
- убеждение, что «декомпилировать APK никто не станет» — пока на сцену не вышел ИИ.
Традиционно поиск жёстко прописанных секретов требовал ручного анализа каждого APK. ИИ-агент превратил этот процесс в промышленный — 1,8 миллиона приложений за часы, а не месяцы. Правило безопасности, которое раньше было трудно нарушать в масштабе, теперь стало тривиально эксплуатируемым.
Что это значит для пользователей Android в России
Android занимает более 75% рынка смартфонов в России (2026 г.). При этом российские пользователи часто устанавливают приложения не только из Google Play — APK загружают напрямую с сайтов разработчиков, из RuStore, через магазины производителей устройств. ShinyHunters собирали файлы из множества источников одновременно.
Практический риск для конечного пользователя:
- если приложение банка или маркетплейса хранило в коде ключи доступа — данные ваших транзакций или история заказов могут быть скомпрометированы;
- корпоративные токены Azure AD открывают целые базы клиентов компаний — в том числе ваши данные как клиента;
- скомпрометированные токены облачных хранилищ могут раскрыть историю вашей активности.
Прямой защиты от этого у вас нет — уязвимость на стороне разработчика, не пользователя. Но снизить риски можно, сократив поверхность атаки. Практические шаги — ниже.
Как защитить свои данные
Не устанавливайте APK из непроверенных источников. Официальные магазины хотя бы частично проверяют приложения и могут удалить заражённую версию. Случайный APK с сайта такой гарантии не имеет. Если нужно установить APK напрямую — только с официального сайта разработчика, с проверкой цифровой подписи.
Регулярно проверяйте разрешения приложений. В настройках Android (Конфиденциальность → Диспетчер разрешений) отзовите доступ к микрофону, камере, контактам и местоположению у приложений, которые его не требуют. Чем меньше данных имеет приложение, тем меньше утечёт через скомпрометированный ключ. Практические советы — в нашем блоге.
Используйте отдельную карту для онлайн-платежей. Виртуальная карта с лимитом закрывает реквизиты основного счёта в случае утечки платёжных ключей из приложения.
Включите двухфакторную аутентификацию везде, где это доступно. Даже если злоумышленник получил ключ API вашего аккаунта в каком-то сервисе, 2FA значительно усложняет полный захват аккаунта.
Шифруйте трафик в общедоступных и корпоративных сетях. Часть атак с использованием скомпрометированных токенов реализуется через перехват трафика. Шифрование соединения через LiMP VPN исключает этот вектор и скрывает ваш реальный IP от трекеров, использующихся для профилирования и повторных атак на скомпрометированные аккаунты. Тарифы — на странице планов.