Značajna sigurnosna greška je identifikovana u popularnoj YONO SBI bankarskoj aplikaciji, koja bi potencijalno mogla izložiti milione korisnika kibernetičkim prijetnjama.
Ova ranjivost, označena kao CVE-2025-45080, pogađa verziju 1.23.36 aplikacije YONO SBI: Banking & Lifestyle i proizlazi iz nesigurnih postavki mrežne konfiguracije koje omogućavaju prijenos nešifriranih podataka.
Ova konfiguracija dopušta aplikaciji da prenosi podatke putem nešifriranih HTTP veza, što je u suprotnosti s modernim sigurnosnim najboljim praksama za finansijske aplikacije. Paket aplikacije com.sbi.lotusintouch u suštini zaobilazi zadane sigurnosne mehanizme Androida koji su implementirani za zaštitu korisničkih podataka.
Sigurnosni istraživač Ishwar Kumar, koji je otkrio ovu ranjivost, demonstrirao je da se greška može iskoristiti relativno jednostavnim postupkom. Dekompiliranjem APK-a pomoću alata poput APKTool i pregledom manifesta aplikacije, istraživači mogu potvrditi prisutnost nesigurne konfiguracije. Alati za analizu mreže, kao što su Burp Suite ili Wireshark, zatim mogu presresti i pratiti nešifrirani promet koji teče između aplikacije i njenih servera.
Tehničke implikacije su ozbiljne, jer ova konfiguracija krši Androidove sigurnosne smjernice za aplikacije usmjerene na API nivo 28 (Android 9) ili više, gdje je nešifrirani promet onemogućen po zadanim postavkama. Ranjivost stvara višestruke vektore napada, uključujući prisluškivanje osjetljivih komunikacija, manipulaciju podacima tokom prijenosa i, što je najvažnije, napade “čovjek u sredini” (MITM), gdje zlonamjerni akteri mogu sebe postaviti između korisnika i legitimnih bankarskih servera.
Kibernetička zajednica je ovu ranjivost klasifikovala kao “visokog” nivoa uticaja, što je posebno zabrinjavajuće s obzirom na osjetljivu prirodu bankarskih aplikacija. Finansijske institucije obično rukuju visoko osjetljivim podacima, uključujući lične identifikacijske podatke, brojeve računa, detalje transakcija i vjerodajnice za autentifikaciju. Kada se takvi podaci prenose nešifriranim kanalima, postaju podložni presretanju od strane kibernetičkih kriminalaca koji djeluju na istoj mrežnoj infrastrukturi.
Napadima “čovjek u sredini” omogućenim ovom ranjivošću, napadači bi mogli presresti vjerodajnice za prijavljivanje, nadzirati finansijske transakcije u stvarnom vremenu i potencijalno manipulirati podacima o transakcijama prije nego što stignu do legitimnih servera. Korisnici koji se povezuju na javne Wi-Fi mreže ili kompromitiranu mrežnu infrastrukturu bili bi izloženi posebno visokom riziku, jer bi se napadači lako mogli postaviti kako bi presreli komunikacije u čistom tekstu.
Kako se digitalno bankarstvo nastavlja širiti globalno, ranjivosti poput CVE-2025-45080 naglašavaju kritičnu potrebu da finansijske institucije daju prioritet pregledima sigurnosnih konfiguracija i implementiraju sveobuhvatne procedure sigurnosnog testiranja tokom životnog ciklusa razvoja svojih aplikacija. Kupcima SBI-ja savjetuje se da pažljivo prate svoje račune i izbjegavaju korištenje aplikacije na nesigurnim mrežama dok se ne izda sigurnosni zakrpa.