Розробник і творець fastlane.tools Фелікс Краузе (Felix Krause) розповів про неприємний баг в iOS. Хоча виявлена фахівцем особливість не є фактичною вразливістю, він упевнений, що дана проблема може заподіяти користувачам чимало шкоди.
У своєму блозі дослідник пояснює, що UIAlertController API дозволяє розробникам додатків створювати діалогові вікна, які як дві краплі води схожі на справжні, системні запити паролів від iCloud, iTunes або GameCenter. Помітити подібну фішингову атаку буде практично неможливо, доказ тому - зображення, наведені нижче. Фішингові запити паролів в обох випадках знаходяться праворуч. Потрібно визнати, що розпізнати фальшивку чи можливо.
«IOS запитує у користувачів пароль від iTunes по безлічі причин: коли недавно встановлена iOS оновлюється, або якщо додаток" застрягло "під час установки. В результаті користувачів привчили просто вводити пароль від Apple ID, якщо система його просить. Більш того, спливаючі вікна з'являються не тільки на екрані блокування або домашньому екрані, але і в випадкових сторонніх додатках, коли їм потрібен доступ до iCloud, Game Center або покупкам всередині програми », - пише Краузе.
За словами фахівця, зловмисникам навіть не обов'язково знати email-адреса жертви, адже запит, в тому числі, може виглядати, як на ілюстрації нижче.
Дослідник стверджує, що про проблему поки не знають зловмисники, так як випадків її експлуатації поки помічено не було. Саме з цієї причини Краузе вирішив не публікувати вихідний код, який використовував для створення настільки правдоподібних фальшивок.
Фахівець розповів і про те, як відрізнити фальшиве вікно запиту пароля від справжнього. Побачивши такий запит, користувачам варто натиснути на кнопку Home. Якщо закриється не лише додаток, а й вікно діалогу, значить перед вами фішингова атака, - справжній системний запит повинен залишатися на екрані навіть після натискання на Home, так як за нього відповідає інший процес. Також Краузе рекомендує використовувати двухфакторную аутентифікацію і взагалі не радить вводити облікові дані в таких спливаючих вікнах, для цього краще переходити в настройки і заповнювати необхідні поля там.
фото: Depositphotos
