جمع‌آوری داده‌های خصوصی، اپلیکیشن‌های موبایل را به هدفی وسوسه‌انگیز برای هکرها تبدیل کرده است

 
 طراحی فاقد امنیت ذاتی
 اپلیکیشن‌های موبایل نه‌تنها همه‌جا هستند، بلکه اطلاعات بسیار ارزشمندی نیز دارند. تی. فرانک داونز (مدیر خدمات پیشگیرانه در شرکت BlueVoyant) می‌گوید: «به تمام اطلاعاتی که اپلیکیشن‌ها به آن دسترسی دارند فکر کنید – از موقعیت مکانی و مخاطبان گرفته تا جزئیات مالی. دنیای موبایل، دنیایی پر از پتانسیل برای برداشت داده است.»
 
کریس وینگفیلد (معاون نوآوری در ۳۶۰Privacy) نیز بر این نکته تأکید می‌کند که بسیاری از اپلیکیشن‌ها اصلاً برای امنیت طراحی نشده‌اند. او توضیح می‌دهد: «اپلیکیشن‌ها دائماً اطلاعاتی مانند شناسه نصب، داده‌های متا از کیت‌های تبلیغاتی و پویش‌های تحلیلی را منتشر می‌کنند که شامل موقعیت مکانی و امکان شناسایی دستگاه است.

مهاجمان برای نفوذ نیازی به دسترسی ریشه‌ای ندارند؛ آن‌ها فقط به این داده‌های جانبی نیاز دارند که به صورت بی‌صدا و در مقیاسی گسترده منتشر می‌شوند.»
 
توار معتقد است مدل امنیتی حاکم بر اپلیکیشن‌های موبایل بیشتر برای پاسخ‌گویی به الزامات قانونی ساخته شده، نه برای مقابله با کلاهبرداری یا تصاحب حساب‌ها. وی هشدار می‌دهد: «اگر تراکنش‌ها به سمت اپلیکیشن‌های محافظت‌نشده سوق پیدا کند، فرصت طلایی برای مجرمان فراهم می‌شود.»
 
 ضعف در محافظت از فعالیت‌های داخل اپلیکیشن
 بسیاری از سازمان‌ها هنوز بیشتر بر محافظت از بخش پشتی (backend) تمرکز دارند و از امنیت سمت کاربر (endpoint) غافل هستند. کرن اسمیت (معاون راهکارهای جهانی در شرکت امنیتی Zimperium) می‌گوید: «بسیاری از طرح‌های فعلی بر آنالیزهای پشتی یا سیگنال‌های رفتاری تمرکز دارند، اما تهدیداتی که مستقیماً درون دستگاه یا خود اپلیکیشن رخ می‌دهند را شناسایی نمی‌کنند.»
 
به گفتهٔ داونز، حتی اگر آنالیز رفتار کاربر و محافظت سمت سرور ضروری باشد، باز هم نمی‌توان از آسیب‌پذیری‌های درون اپلیکیشن – مانند منطق برنامه، ذخیره‌سازی داده و شیوه‌های ارتباطی – چشم‌پوشی کرد.
 
وینگفیلد نیز تأکید می‌کند که فرضیهٔ «تهدید از سمت رمز عبور» دیگر کارآمد نیست. او می‌گوید: «امروزه هدف، اطلاعات متادیتا است؛ از موقعیت مکانی و مدل دستگاه تا رخدادهای حرکتی. این داده‌ها رمزنگاری‌نشده، بررسی‌نشده و بی‌سروصدا اپلیکیشن را ترک می‌کنند.»