В феврале 2026 года был опубликован отчёт, после которого хочется стереть все с телефона и уйти в лес. Исследователи проверили десять популярных приложений для психического здоровья на устройствах Android — трекеры настроения, ИИ-терапевты, инструменты для борьбы с депрессией и тревожностью — и нашли в них 1575 уязвимостей. Пятьдесят четыре из них оказались критическими. При этом, судя по количеству установок из магазина Google Play, суммарно этими приложениями может пользоваться до 15 миллионов человек. Но самое неприятное — шесть из десяти проверенных приложений клятвенно обещали, что данные пользователей зашифрованы и надежно защищены.
Разбираемся в скандальной «утечке мозгов»: что именно может утечь, как именно это происходит и почему «анонимность» в таких сервисах — чаще всего маркетинговый миф.
Что нашли в приложениях
В январе 2026 года исследователи компании Oversecured прогнали через сканер десять приложений для контроля психического здоровья из Google Play — и получили впечатляющую картину.
Что за уязвимости
Обнаруженные уязвимости разнообразны, но суть одна — они дают атакующим доступ к тому, что должно быть за семью печатями.
Так, одна из уязвимостей позволяет атакующему получить доступ к любой внутренней активности приложения, даже той, что не предназначена для внешнего доступа. Таким образом в руках злоумышленника могут оказаться терапевтические записи пользователя.
Другая проблема — возможность любого приложения на устройстве прочитать хранящиеся на нём данные. То есть какой-нибудь фонарик или калькулятор на вашем смартфоне потенциально может прочитать записи о ваших сеансах когнитивно-поведенческой терапии, заметки и оценки состояния.
Наконец, большинство из протестированных приложений не имеет защиты от работы на разблокированном телефоне (когда сняты все заводские ограничения), где любое стороннее приложение с правами суперпользователя может получить полный доступ ко всем локально хранимым медицинским данным.
При этом из десяти приложений только четыре получили обновления в феврале 2026-го. Остальные не обновлялись с ноября 2025-го, а одно — с сентября 2024 года. Полтора года без патчей — и это для приложения, в котором хранятся журналы настроения, записи о сеансах терапии и графики приема лекарств.
Что может утечь
Что собирают и хранят проанализированные приложения? То, чем вы вряд ли хотели бы поделиться с кем-то кроме своего врача: стенограммы терапевтических сессий, логи настроения, расписание приема медикаментов, индикаторы самоповреждения, заметки из сессий когнитивно-поведенческой терапии и различные оценочные шкалы.
Медицинские карты еще в 2021 году продавались в сети по тысяче долларов за экземпляр. Сравните: номер банковской карты на черном рынке стоит от 5 до 30 долларов. Медицинские записи содержат полный идентификационный пакет — имя, адрес, страховые данные, историю диагнозов — которые, в отличие от банковской карты, нельзя «перевыпустить». А еще медицинское мошенничество сложнее обнаружить: если кредитная компания блокирует подозрительную транзакцию за часы, то поддельный страховой счет за несуществующее лечение может оставаться незамеченным годами.
Где-то мы это уже видели
Исследование Oversecured — не единичная история.
В 2020 году Александр Кивимяки взломал базу данных финской психотерапевтической клиники Vastaamo и украл записи 33 000 пациентов. Когда клиника отказалась платить выкуп в 400 000 евро, он начал рассылать письма пациентам напрямую: «Заплатите 200 евро в биткоинах за 24 часа, или ваши записи станут публичными». А потом все равно выложил всю базу в сеть. Как минимум два человека покончили с собой. Клиника обанкротилась. Кивимяки получил шесть лет и три месяца тюрьмы — это был рекордный для Финляндии процесс по числу пострадавших.
В 2023 году Федеральная торговая комиссия США оштрафовала сервис онлайн-терапии BetterHelp на 7,8 миллиона долларов. Компания передавала данные пользователей, включая ответы на опросники о психическом здоровье, e-mail-адреса и IP-адреса, в соцсети для таргетированной рекламы — при этом на странице регистрации, разумеется, обещала полную конфиденциальность. В итоге разбирательства 800 000 пользователей получили… по 10 долларов компенсации каждый.
В 2024 году та же Федеральная торговая комиссия США добралась до телемедицинской компании Cerebral, назначив ей штраф в семь миллионов долларов. Через пиксели отслеживания Cerebral слила данные 3,2 миллиона пользователей в соцсети. Среди утекших данных — имена, истории болезней, информация о назначенных лекарствах, даты приемов и данные медстраховки. Ну и вишенка на торте — компания разослала шести тысячам пациентов рекламные открытки (не в конвертах), на которых фактически было указано, что получатель проходит психиатрическое лечение.
А в сентябре 2024 года исследователь безопасности Джеремайя Фаулер обнаружил открытую базу данных Confidant Health — компании, помогающей избавиться от алкогольной и наркотической зависимости и предоставляющей услуги в области психического здоровья. В базе были аудио- и видеозаписи терапевтических сессий, расшифровки, записи психиатра, результаты тестов на наркотики и копии водительских удостоверений. Всего 5,3 терабайта, 126 000 файлов, 1,7 миллиона записей. Без пароля.
Почему анонимность — это иллюзия
Разработчики часто говорят: «Мы никому не передаем персональные данные». Технически это может быть правдой — вместо этого они передают анонимизированные профили. Проблема в том, что деанонимизировать эти данные не так уж сложно. Недавнее исследование напоминает, что деанонимизация с помощью ИИ в наши дни — вполне обычная история.
Да и непосредственно с анонимизацией данных дела обстоят так себе. Исследование Duke University раскрыло, что дата-брокеры открыто продают данные о психическом здоровье американцев. 11 из 37 опрошенных брокеров согласились продать данные с привязкой к диагнозам (депрессия, тревожность, биполярное расстройство), демографическим параметрам, а в ряде случаев — и к именам и домашним адресам. Цены начинались от 275 долларов за 5000 агрегированных записей.
А согласно исследованию Mozilla Foundation, в 2023 году 59% популярных приложений для психического здоровья не соответствовали минимальным стандартам приватности, а 40% приложений стали менее безопасными по сравнению с предыдущим годом. Приложения позволяли создавать аккаунты с использованием сторонних сервисов (почты или соцсетей), имели слишком короткие политики конфиденциальности без деталей о сборе данных и использовали интересный прием: некоторые политики конфиденциальности распространялись только на веб-сайты, но не на сами приложения — то есть ваши действия на сайте были защищены политикой конфиденциальности, а вот в приложении — уже нет.
Как себя защитить
Отказ от использования подобных приложений — конечно, самый надежный вариант, но не самый реалистичный. Тем более что вы вряд ли сможете гарантированно уничтожить уже собранные данные, даже если закроете свой аккаунт. Как же себя обезопасить?
- Перед скачиванием приложения проверьте, какие разрешения оно запрашивает. В магазине Google Play зайдите в Описание приложения → О приложении → Разрешения приложения. Трекер настроения не должен просить доступ к камере, микрофону, контактам или точному местоположению. Если просит — это не забота о вашем здоровье, а сбор данных.
- Прочитайте политику конфиденциальности. Обычно эти многостраничные соглашения никто не читает, но в случае с сервисом, собирающим очень личную информацию, сделать это все же стоит. Ищите ключевые маркеры: передает ли компания данные третьим лицам? Можно ли удалить свои данные? Распространяется ли политика обработки данных не только на сайт, но и на приложение? Для анализа политики конфиденциальности можно прибегнуть к помощи ИИ, просто попросив его изучить политику конфиденциальности и ответить, безопасно ли пользоваться этим приложением.
- Проверяйте дату последнего обновления. Приложение, не обновлявшееся больше полугода, скорее всего, не получает и патчей безопасности. Из десяти проверенных Oversecured приложений шесть не обновлялись месяцами.
- Отключайте все лишнее в настройках приватности телефона. Везде, где это возможно, выбирайте «запретить отслеживание». Когда приложение убеждает вас разрешить тот или иной вид отслеживания, мотивируя это некими «внутренними нуждами» — это почти всегда маркетинг, а не функциональная необходимость. В конце концов, если приложение не будет работать без того или иного разрешения, его всегда можно включить позже.
- Не авторизуйтесь через сторонние сервисы. Авторизация через соцсети или почту — это расширенные возможности для связывания ваших данных между платформами.
- Относитесь ко всему, что вводите, как к открытому профилю в соцсети. Если вы не готовы, чтобы это прочитал случайный человек из Интернета, — то, наверное, не стоит записывать это в приложение с полутора сотнями уязвимостей, не обновлявшееся с позапрошлого года.