Сервисы для психологической поддержки превратились в источник проблем для пользователей. Приложения для «крепкой психики» раскрывают личную информацию о том, что творится в голове их пользователей. Как снизить риски разглашения медицинских данных?
В феврале 2026-го компания Oversecured обнародовала доклад, после которого возникает желание удалить всё с телефона и податься в отшельники. Специалисты проанализировали десять востребованных Android-приложений в сфере ментального здоровья — дневники эмоций, чат-боты-психологи, средства для борьбы с депрессией и тревогой — и выявили в них 1575 уязвимостей. 54 из них были классифицированы как критические. При этом, судя по числу загрузок в Google Play, совокупная аудитория этих программ может достигать 15 миллионов человек. Но самое тревожное — шесть из десяти проверенных сервисов торжественно заверяли, что данные юзеров зашифрованы и находятся под надежной защитой. Какая именно информация может оказаться скомпрометированной, каким образом это происходит и почему «анонимность» в таких сервисах зачастую оказывается просто маркетинговым вымыслом?
Что обнаружили в приложениях
Oversecured — это фирма, специализирующаяся на безопасности мобильных приложений. Ее инструмент сканирует APK-файлы на предмет типовых уязвимостей по множеству категорий. В январе 2026 года эксперты пропустили через сканер десять приложений из Google Play, предназначенных для контроля психоэмоционального состояния, и получили показательную картину.
Характер уязвимостей
Найденные уязвимости отличаются по типу, но их объединяет одно — они открывают злоумышленникам доступ к информации, которая должна быть под надежной защитой. Например, одна из уязвимостей дает атакующему возможность проникнуть в любую внутреннюю активность приложения, даже ту, которая не рассчитана на внешний доступ, и таким образом заполучить токены аутентификации и данные о сессиях пользователя. Используя их, хакер может напрямую ознакомиться с записями терапевтических сеансов.
Еще одна проблема — локальное сохранение данных с правами на чтение для любых программ на устройстве. Иными словами, какой-нибудь фонарик или калькулятор на вашем смартфоне теоретически способен считать заметки о ваших сеансах когнитивно-поведенческой терапии, личные записи и результаты самооценок.
Также в числе находок — конфигурационные сведения в незашифрованном виде, находящиеся прямо внутри установочного APK-файла: URL-адреса серверов, к которым обращается клиентское приложение для обмена данными и встроенные URL-адреса базы данных Firebase.
Помимо этого, часть приложений применяет криптографически нестойкий класс для генерации сессионных токенов и ключей шифрования. И наконец, большинство протестированных программ не имеют защиты от работы на разблокированных устройствах с джейлбрейком (root-доступом), где любая посторонняя программа с правами суперпользователя может получить полный контроль над всеми локально хранящимися медицинскими данными.
При этом из десяти приложений лишь четыре получили обновления в феврале 2026-го. Остальные не обновлялись с ноября 2025-го, а одно — с сентября 2024 года. Полтора года без исправлений — и это для сервиса, где хранятся записи о сменах настроения, отчеты о терапевтических сессиях и графики приема лекарств.
Напомним, насколько опасным может быть неправомерное использование подобной информации. В 2024 году мировое сообщество всколыхнула изощренная атака на XZ Utils — критически важный компонент всех операционных систем на ядре Linux. Тогда хакерам удалось уговорить разработчика утилиты передать права на внесение правок в код именно потому, что автор публично жаловался на эмоциональное выгорание и потерю интереса к работе над проектом. Если бы атаку довели до конца, ущерб сложно было бы даже представить — ведь около 80% серверного оборудования по всему миру функционирует на Linux.
Что может оказаться скомпрометированным
Какую информацию собирают и хранят проанализированные приложения? Ту, которой вы вряд ли захотите делиться с кем-то, кроме своего врача: расшифровки терапевтических сеансов, дневники настроения, графики приема лекарств, признаки самоповреждения, записи с сессий когнитивно-поведенческой терапии и разнообразные оценочные шкалы.
Медицинские карты еще в 2021 году продавались в даркнете по тысяче долларов за штуку. Для сравнения: номер банковской карты на черном рынке стоит от 5 до 30 долларов. Медицинские записи содержат полный комплект идентификационных данных — имя, адрес, страховую информацию, историю диагнозов — которые, в отличие от банковской карты, нельзя «перевыпустить». К тому же медицинское мошенничество выявить сложнее: если кредитная организация блокирует подозрительную транзакцию в течение нескольких часов, то фиктивный страховой счет за неоказанное лечение может оставаться незамеченным годами.
Мы уже сталкивались с подобным
В 2020 году Александр Кивимяки взломал базу данных финского психотерапевтического центра Vastaamo и похитил записи 33 000 пациентов. Когда клиника отказалась платить выкуп в 400 000 евро, он начал рассылать письма напрямую пациентам: «Переведите 200 евро в биткоинах в течение 24 часов, иначе ваши записи станут общедоступными». А позже всё равно выложил всю базу в даркнет. Клиника обанкротилась. Кивимяки приговорили к шести годам и трем месяцам тюрьмы — это был самый масштабный процесс в Финляндии по числу пострадавших.
В 2023 году Федеральная торговая комиссия США оштрафовала сервис онлайн-терапии BetterHelp на 7,8 миллиона долларов. Компания сливала данные пользователей, включая ответы на опросники о ментальном здоровье, адреса электронной почты и IP-адреса, в Facebook, Snapchat, Criteo и Pinterest для настройки таргетированной рекламы — при этом на странице регистрации, разумеется, обещала полную конфиденциальность. В итоге по результатам разбирательства 800 000 пользователей получили… по 10 долларов компенсации каждый.
В 2024 году та же Федеральная торговая комиссия США добралась до телемедицинской компании Cerebral, выписав ей штраф в семь миллионов долларов. Через пиксели отслеживания Cerebral передала данные 3,2 миллиона пользователей в LinkedIn, Snapchat и TikTok. Среди утекшей информации — имена, истории болезней, сведения о назначенных лекарствах, даты приемов и данные медстраховки. Ну и вишенка на торте — компания разослала шести тысячам пациентов рекламные открытки (не в конвертах), на которых по сути указывалось, что получатель проходит психиатрическое лечение.
А в сентябре 2024-го специалист по безопасности Джеремайя Фаулер обнаружил открытую базу данных Confidant Health — организации, помогающей избавиться от алкогольной и наркотической зависимости и оказывающей услуги в сфере ментального здоровья. В базе содержались аудио- и видеозаписи терапевтических сессий, их расшифровки, заметки психиатра, результаты тестов на наркотики и копии водительских прав. В общей сложности 5,3 терабайта, 126 000 файлов, 1,7 миллиона записей. Без пароля.
Почему анонимность — это самообман
Разработчики часто заявляют: «Мы не передаем персональные данные третьим лицам». Технически это может быть правдой — вместо этого они передают обезличенные профили. Проблема в том, что деанонимизировать эти данные не так уж сложно. Недавнее исследование напоминает, что деанонимизация с помощью больших языковых моделей (LLM) в наши дни — довольно рядовое явление.
Да и с самой процедурой обезличивания данных дела обстоят неважно. Исследование Университета Дьюка показало, что брокеры данных открыто продают информацию о ментальном здоровье американцев. 11 из 37 опрошенных брокеров согласились продать данные с привязкой к диагнозам (депрессия, тревожность, биполярное расстройство), демографическим параметрам, а в ряде случаев — и к именам с домашними адресами. Цены стартовали от 275 долларов за 5000 агрегированных записей.
А согласно исследованию Mozilla Foundation, в 2023 году 59% популярных приложений для ментального здоровья не соответствовали минимальным стандартам конфиденциальности, а 40% программ стали менее безопасными по сравнению с предыдущим годом. Приложения позволяли создавать аккаунты через сторонние сервисы (вроде Google, Apple и Facebook), имели чересчур краткие политики конфиденциальности без подробностей о сборе данных и использовали интересный прием: некоторые политики конфиденциальности распространялись только на веб-сайты, но не на сами приложения — то есть ваши действия на сайте были защищены политикой конфиденциальности, а в приложении — уже нет.
Как обезопасить себя
Отказ от использования подобных приложений — конечно, самый надежный вариант, но не самый практичный. Тем более что вы вряд ли сможете гарантированно уничтожить уже накопленные сведения, даже если закроете свой аккаунт. Мы уже детально описывали непростой процесс удаления данных из баз брокеров информации — сделать это можно, но придется повозиться. Как же себя обезопасить?
Перед установкой приложения проверьте, какие разрешения оно запрашивает. В Google Play перейдите в Описание приложения → О приложении → Разрешения приложения. Дневник настроения не должен требовать доступ к камере, микрофону, контактам или точному местоположению. Если требует — это не забота о вашем здоровье, а сбор данных.
Изучите политику конфиденциальности. Обычно эти многостраничные соглашения никто не читает, но в случае с сервисом, собирающим сугубо личную информацию, это всё же стоит сделать. Ищите ключевые маркеры: передает ли компания данные третьим лицам? Можно ли удалить свои данные? Распространяется ли политика обработки данных не только на сайт, но и на приложение? Для анализа политики конфиденциальности можно прибегнуть к помощи ИИ, просто попросив его изучить политику конфиденциальности и ответить, безопасно ли пользоваться этим приложением.