Aplicațiile de sănătate mintală de pe Android, cu milioane de instalări, au probleme grave de securitate

Tot mai mulți oameni folosesc aplicații de sănătate mintală pentru monitorizarea stării emoționale, jurnal de terapie, exerciții de anxietate sau chiar conversații cu chatboți AI care promit sprijin psihologic. Pentru mulți utilizatori, aceste aplicații devin spații intime, în care sunt stocate gânduri sensibile, episoade dificile, scoruri de evaluare, note despre terapie și informații legate de tratament. Tocmai de aceea, orice problemă de securitate într-o astfel de aplicație este mult mai gravă decât o simplă eroare tehnică.

Un nou raport citat de BleepingComputer arată exact acest lucru: mai multe aplicații Android de sănătate mintală, cu milioane de descărcări, conțin vulnerabilități care pot expune date extrem de sensibile. Cercetătorii de la Oversecured au analizat 10 aplicații și au găsit un total de 1.575 de probleme de securitate, inclusiv vulnerabilități de severitate medie și mare. Din datele agregate, aplicațiile analizate depășesc 14,7 milioane de instalări, ceea ce transformă subiectul într-o problemă reală de siguranță digitală pentru un număr uriaș de utilizatori.

Miza este cu atât mai mare cu cât multe dintre aceste aplicații promit confidențialitate și siguranță. În raport se menționează că cel puțin șase dintre cele zece aplicații analizate susțin că mesajele sau conversațiile utilizatorilor rămân private ori sunt criptate în siguranță pe serverele furnizorilor. Când astfel de promisiuni se lovesc de vulnerabilități tehnice, încrederea utilizatorilor poate fi afectată serios.

Ce au descoperit cercetătorii și de ce este atât de grav

Raportul Oversecured, prezentat de BleepingComputer, include o imagine de ansamblu îngrijorătoare: 54 de vulnerabilități de severitate mare, 538 de severitate medie și 983 de severitate scăzută. Chiar dacă nu a fost identificată nicio problemă critică, numărul mare de breșe și tipurile de riscuri descoperite arată o igienă de securitate slabă în mai multe cazuri. Cercetătorii spun că unele dintre aceste probleme pot fi exploatate pentru interceptarea credențialelor, falsificarea notificărilor, injecții HTML sau chiar localizarea utilizatorului.

Vezi și:

Un român din trei nu știe cum s-ar descurca dacă și-ar pierde locul de muncă. Ce arată un nou studiu

Un exemplu concret menționat în raport este folosirea nesigură a funcției Intent.parseUri() într-o aplicație de terapie cu peste un milion de descărcări. Pe scurt, aplicația ar procesa șiruri externe fără validare adecvată și ar lansa ulterior activități interne care nu ar trebui expuse public. Asta poate permite unui atacator să forțeze deschiderea unor componente interne ale aplicației, inclusiv zone care gestionează tokenuri de autentificare sau date de sesiune. Dacă un astfel de scenariu este exploatat, există riscul ca un atacator să ajungă la date de terapie ale utilizatorului.

O altă problemă serioasă este stocarea locală a datelor într-un mod care permite altor aplicații de pe telefon să citească informația. În funcție de ce salvează aplicația, asta poate însemna expunerea jurnalelor personale, a notițelor din ședințe CBT (terapie cognitiv-comportamentală), a scorurilor de evaluare sau a altor detalii foarte intime. Practic, nu vorbim doar despre adrese de e-mail sau parole, ci despre fragmente din viața emoțională și psihologică a oamenilor.

Cercetătorii au mai identificat și date de configurare în clar în fișierele aplicațiilor, inclusiv endpoint-uri de backend și URL-uri Firebase hardcodate. În plus, unele aplicații foloseau java.util.Random, o metodă considerată nesigură din punct de vedere criptografic, pentru generarea unor tokenuri de sesiune sau chei de criptare. Chiar dacă, separat, aceste detalii pot părea tehnice, împreună ele indică o problemă de bază: dezvoltatori care tratează superficial securitatea într-un domeniu unde protecția datelor ar trebui să fie prioritară.

Vezi și:

No-code și democratizarea programării: Pot antreprenorii să-și creeze singuri aplicațiile?

A făcut două aplicații doar cu vocea și mouse-ul. Care e concluzia

De ce datele de sănătate mintală sunt mai valoroase decât par

Un punct foarte important din material este valoarea acestor date pentru atacatori. Fondatorul Oversecured, Sergey Toshin, avertizează că datele de terapie sunt printre cele mai sensibile tipuri de informații personale și că, pe piețele ilegale, pot avea o valoare mult mai mare decât datele bancare obișnuite. În raport se menționează că astfel de înregistrări pot ajunge la 1.000 de dolari sau mai mult per profil, semn că interesul criminalilor cibernetici pentru acest tip de date este real.

Motivul este simplu: datele de sănătate mintală pot fi folosite pentru șantaj, phishing foarte bine țintit, fraudă de identitate sau manipulare psihologică. Dacă cineva obține acces la istoricul tău emoțional, la episoade de depresie, anxietate, autovătămare sau tratamente, impactul poate fi devastator. Nu mai este doar o problemă de securitate IT, ci una care poate afecta direct viața personală, relațiile și reputația.

Raportul subliniază și că unele aplicații analizate colectează informații care, în anumite contexte, pot intra în zona datelor protejate prin reglementări stricte, inclusiv date medicale sensibile. Asta ridică întrebări serioase despre responsabilitatea companiilor care dezvoltă astfel de servicii: dacă promiți sprijin pentru sănătate mintală, trebuie să tratezi protecția datelor la același nivel de seriozitate ca o clinică digitală, nu ca o simplă aplicație de lifestyle.

Ce arată situația despre piața aplicațiilor de sănătate mintală

Un alt detaliu relevant este starea actualizărilor. Din observațiile BleepingComputer, doar patru dintre aplicațiile analizate primiseră update chiar în luna publicării materialului. Pentru restul, ultima actualizare era mai veche, în unele cazuri din noiembrie 2025 sau chiar septembrie 2024. Asta nu înseamnă automat că aplicațiile sunt abandonate, dar poate indica un ritm lent de mentenanță într-un domeniu care ar avea nevoie de patch-uri rapide și audituri constante.

Mai mult, scanările Oversecured au fost făcute între 22 și 23 ianuarie 2026, pe cele mai noi versiuni disponibile atunci, iar cercetătorii spun clar că nu pot confirma dacă vulnerabilitățile au fost remediate între timp. Din acest motiv, BleepingComputer a ales să nu publice numele aplicațiilor afectate, tocmai pentru că procesul de divulgare responsabilă era încă în desfășurare. Este o decizie justificată, dar care lasă utilizatorii într-o zonă de incertitudine: știi că problema există, dar nu știi exact dacă aplicația pe care o folosești este printre cele afectate.

Raportul mai arată un lucru important: faptul că o aplicație are „zero vulnerabilități high-severity” nu înseamnă automat că este sigură. Șase dintre cele zece aplicații nu aveau probleme clasificate ca severe, dar aveau în continuare vulnerabilități medii care slăbeau semnificativ postura de securitate. În practică, atacurile reale folosesc adesea combinații de probleme „mai mici”, nu neapărat o singură breșă spectaculoasă.

Ce trebuie să urmărești dacă folosești astfel de aplicații

Cazul acesta este un semnal clar că aplicațiile de sănătate mintală trebuie tratate cu mai multă prudență. Dacă folosești astfel de servicii, este important să verifici cât de des primesc actualizări, ce spun despre criptare și confidențialitate, dacă au politici clare de securitate și dacă oferă opțiuni de protecție suplimentară, cum ar fi blocare biometrică sau autentificare în doi pași.

La fel de important este să te uiți și la ce date introduci în aplicație. Chiar dacă aplicația pare utilă, încearcă să eviți stocarea unor detalii care te pot identifica direct, mai ales dacă nu ai încredere deplină în furnizor. În cazul aplicațiilor cu chatboți AI sau jurnal personal, tentația de a scrie tot este mare, dar riscul crește odată cu volumul de informații sensibile pe care le lași acolo.

Concluzia este simplă: aplicațiile de sănătate mintală pot fi utile și, pentru mulți oameni, chiar importante în rutina zilnică. Dar utilitatea nu trebuie confundată cu siguranța. Raportul despre cele 10 aplicații Android arată că, într-o zonă unde confidențialitatea ar trebui să fie sacră, securitatea tehnică este încă prea des tratată ca un detaliu secundar. Iar când vorbim despre terapie, anxietate, depresie sau alte informații intime, exact acest detaliu poate face toată diferența.