Недавно обнаруженная ошибка в приложении «Почта» iOS 8 от Jan Soucek может позволить злонамеренным пользователям с легкостью взломать ваш пароль iCloud, не думая, что что-то пошло не так. Используя ошибку, которая позволяет загружать удаленный HTML-контент вместо исходного содержимого электронной почты, ничего не подозревающим жертвам будет предложено ввести учетные данные iCloud во всплывающем окне, которое напоминает исходное, найденное в iOS.

Ars Technica подробно описывает этот эксплойт, но вот суть:

  1. Вы получаете письмо и открываете его.
  2. Типичное всплывающее окно запрашивает вашу регистрационную информацию iCloud.
  3. Не думая, что происходит что-то подозрительное, вы вводите свои учетные данные.
  4. Всплывающее окно исчезает, и вы занимаетесь своими делами.
  5. Вы информация в настоящее время в руках кто-знает-кто.

Как защитить себя от фишинга

Хотя существует небольшая вероятность того, что вы будете атакованы одним из этих фишинговых писем, по-прежнему полезно знать, как их обнаружить, чтобы не стать жертвой.

  1. Законное всплывающее окно этого типа заполнит ваше имя пользователя, которое не может быть отредактировано. Если поле имени пользователя пустое или может быть изменено, всплывающее окно недопустимо.

Как определить реальные всплывающие окна входа в систему от поддельных фишинговых атак в iOS 8's Mail AppКак определить реальные всплывающие окна входа в систему от поддельных фишинговых атак в iOS 8's Mail App
(1) Реальная сделка не будет иметь поле для имени пользователя. (2) Поддельный будет.

  1. Аутентичные всплывающие окна этого типа не могут быть отклонены с помощью кнопки Home или Touch ID. Легальные всплывающие окна могут быть отклонены только через «ОК» или «Отмена».
  2. Эта атака может быть вызвана только в приложении Почта. Так что, если вы получаете это всплывающее окно в то время как в этом приложении, будьте осторожны. Вряд ли вам когда-нибудь понадобится аутентифицировать свой пароль iCloud в Mail.
  3. Клавиатура автоматически появится с всплывающим окном настоящей аутентификации. Поддельный требует, чтобы вы щелкнули внутри полей, прежде чем доступ к клавиатуре.
  4. Настоящее всплывающее окно не может быть перемещено, но поддельное можно перемещать, когда клавиатура открывается (как видно на видео выше).

Имейте в виду, что это подтверждение концепции, но она должна вызывать тревогу. По словам Арса, представители Apple заявили: «Нам неизвестно о каких-либо клиентах, затронутых этим подтверждением концепции, но мы работаем над исправлением для предстоящего обновления программного обеспечения».

Патч может появиться сразу после выхода iOS 8.4, и к моменту выхода iOS 9 его нужно будет исправить.

Оцените статью!