До 16 июля 2024 года все граждане Украины стоящие на воинском учете должны были обновить данные. Конечно в социальных сетях полно информации как от военнослужащих, так и от тех, кто видит как ТЦК "убеждает потенциальных солдат", обновить свои регистрационные данные. Чтобы было проще со всем этим делом министерство обороны Украины запустили специальное приложение «Резерв+». Мы скачали его и разобрали (результаты сложили в архив вдруг каким исследователям это будет интересно).

Приложение ничего сверх естественного в себе не несет: просит доступ к камере, диску и разрешение для аутентификации по биометрии.

Но из самого приложения мы вытащили ссылки которые при желании можно использовать для парализации работы:

самое смешное в приложении: https://reserveplus.mod.gov.ua/privacy/ - адрес соглашения о неразглашении разработками персональных данных)).

vladko@gmail.com — почта для абузы (жалоб) странно, конечно, что не могли дать почту корпоративную, но это и на руку. Да защита в гугла в плане фишинга отличная, но что делать со спамом?

cabinet-support@mil.ua — почта для обращений, когда что-то не получается.
https://api2.reserveplus.gov.ua/api/v1/ - адрес обращения к апи приложения, сама SQL база крутится на 3306 порту.

https://id.bank.gov.ua/ - шлюз для передачи данных для идентификации в Национальной системе электронной дистанционной идентификации физических лиц BankID Национального банка Украины.

Еще в инетерфейсе найдены скрытые и не переведенные события со следующими подписями: Incoming call, Ongoing call, Screening an incoming call — похоже скоро на приложение будут звонить.

Так же надо насторожиться всем кто обновляет данные за границей, так как интересное сообщение найдено: "З громадянами України, що проживають за кордоном, ТЦК та СП може зв'язатися на електронну пошту."

За разработку этого приложения надо сказать спасибо бывшему крымчанину, а ныне киевлянину (которого чего-то не призывают))) Пименову Сергею (вероятно тут будут подробности).

Это статья не призыв к действиям, а лишь обзор приложения.