PSA: um novo ataque de phishing pode induzir você a revelar sua senha do Apple ID

Tiffany Garrett

Se você já usou um dispositivo iOS, quase certamente viu o pop-up acima solicitando que você insira sua senha Apple ID. Ele costuma aparecer na App Store e na iTunes Store, mas também tem a tendência de aparecer aleatoriamente de vez em quando devido a algo sendo executado em segundo plano.

PARA nova postagem de blog do desenvolvedor Felix Krause , no entanto, explica como esse pop-up pode ser usado para enganar facilmente alguém e fazê-lo entregar seu ID Apple e senha ...

como compartilhar tela na chamada do messenger

O desenvolvedor explica que é incrivelmente fácil para um fabricante de aplicativos iOS recriar o prompt de senha do ID da Apple. A partir daí, o aplicativo pode enviar esse pop-up e, posteriormente, registrar o ID da Apple e a senha. Leva menos de 30 linhas de código e pode aparentemente ser descartado em qualquer aplicativo iOS legítimo e passar despercebido pelas equipes de revisão da App Store.

Mostrar uma caixa de diálogo que se parece com um pop-up do sistema é super fácil, não há código mágico ou secreto envolvido, são literalmente os exemplos fornecidos nos documentos da Apple, com um texto personalizado.

Decidi não abrir o código pop-up real, no entanto, observe que tem menos de 30 linhas de código e cada engenheiro de iOS será capaz de construir rapidamente seu próprio código de phishing.

Krause observa como isso tem sido um grande problema nos navegadores de desktop há anos, com sites ilegítimos enviando popups falsos que são quase idênticos às notificações normais do sistema. É basicamente o mesmo para iOS também. Ele diz que já registrou esse problema como um radar na Apple e explica que poderia ser corrigido pela Apple, não permitindo que as senhas fossem inseridas em pop-ups, mas apenas no aplicativo Configurações / App Store.

apple watch sport vs apple watch 2

Sobre como você pode se proteger, Krause descreve as seguintes etapas:

  • Clique no botão home e veja se o aplicativo fecha:
    • Se ele fechar o aplicativo e, com ele, a caixa de diálogo, foi um ataque de phishing
    • Se a caixa de diálogo e o aplicativo ainda estiverem visíveis, é uma caixa de diálogo do sistema. A razão para isso é que os diálogos do sistema são executados em um processo diferente, e não como parte de nenhum aplicativo iOS.
  • Não insira suas credenciais em um pop-up, em vez disso, ignore-o e abra o aplicativo Configurações manualmente. Este é o mesmo conceito, como você nunca deve clicar em links em e-mails, mas sim abrir o site manualmente
  • Se você clicar no botão Cancelar em uma caixa de diálogo, o aplicativo ainda terá acesso ao conteúdo do campo de senha. Mesmo depois de inserir os primeiros caracteres, o aplicativo provavelmente já possui sua senha.

Você pode ler a explicação completa de Krause sobre isso método de phishing em seu blog bem aqui .


FTC: Usamos links de afiliados para automóveis que geram receita. Mais.