Разработчикът Феликс Краус (Felix Krause) показа вчера, че е много лесно недоброжелатели да откраднат паролата за вашето Apple ID и за това не се изисква много работа. Единственото необходимо е да се пресъздаде видът на диалоговия прозорец, изискващ въвеждане на парола в Settings или App Store менюто на iOS.
По-долу можете да видите сравнение между истински диалогов прозорец и измамен такъв. Практически няма разлика. Краус обяснява така:
„Показването на диалогов прозорец, който изглежда точно като изскачащ системен прозорец, е супер лесно, няма магия или скрит код. Това е буквално примерът, предоставен в документацията на Apple, [само че] с персонализиран текст.
Реших да не споделям програмния код за изскачащ прозорец, но имайте предвид, че това е по-малко от 30 реда код и всеки iOS софтуерен инженер ще може бързо да напише свой фишинг код.“
С една дума няма нищо, което да спре дори легитимно приложение да показва такъв изскачащ прозорец. Просто в него трябва да пише същото, както при оригиналния такъв, показващ се в App Store например и воала! — разработчикът ще помоли за паролата ви и вие можете да му я предоставите без да се замислите.
Краус споделя, че се е обърнал към Apple с молба това да бъде коригирано. Според него подобни фишинг атаки могат лесно да бъдат избегнати ако Купертино просто позволят въвеждане на парола единствено в Settings менюто и никъде другаде, например.
Колкото до това как да се предпазите от евентуални фишинг атаки в iOS, Краус има няколко съвета ако на вашия iPhone изскочи подобен прозорец и не сте сигурни дали той е легитимен:
- Натиснете Home бутона и вижте дали приложението ще се затвори:
○ ако приложение и диалоговия прозорец се затворят, значи това е била фишинг атака
○ ако останат отворени, значи това е истински системен прозорец. Причината за това е, че диалоговите прозорци работят на отделен процес и не са част от iOS приложенията - Не въвеждайте данните си в изскачащи прозорци. Вместо това излезте от него и отворете Settings ръчно. Това е същото като предупреждението никога да не кликвате върху линкове в имейли; по-добре отваряйте съответния сайт ръчно.
- Ако натиснете Cancel бутона в диалогов прозорец, приложението получава достъп до написаното в полето за парола въпреки всичко. Дори след въвеждане на символите, но натискане на Cancel, апликацията вероятно вече има вашата парола.
