Cảnh báo tấn công Phishing lấy cắp password Apple ID

[HustReMw]

Bạn có thể nhận ra đâu là hộp thoại Apple ID thật? Đâu là hộp thoại giả mạo không?

​

Cả hai hộp thoại đều giống hệt nhau, rất khó để nhận ra, ngay cả người sử dụng cẩn thật nhất.

Felix Krause, một nhà phát triển iOS đã minh họa một cuộc tấn công lừa đảo không thể phát hiện; trong đó một ứng dụng iOS độc hại sẽ đánh cắp mật khẩu Apple ID rồi truy cập vào dữ liệu iCloud của người dùng.

Lý do sử dụng tấn công lừa đảo này?​

iOS yêu cầu người dùng nhập password với rất nhiều lý do khác nhau, như khi cập nhật hệ điều hành, truy cập vào tài khoản iCloud, GameCenter...Do đó, đã tạo cho người dùng một thói quen đăng nhập tài khoản khi có bất kỳ yêu cầu đăng nhập nào. Điều này có thể bị lợi dụng, khi một ứng dụng độc hại đánh cắp password bằng cách hiển thị một "UIAlertController" giống hệt hộp thoại của hệ thống.

Tấn công phishing này rất khó phát hiện, ngay cả những người am hiểu về công nghệ.

Cách bảo vệ​

• Khi có một ứng dụng hiển thị hộp thoại nhập password iTunes. Nhấn Home và kiểm tra xem ứng dụng có được đóng hay không?
• Nếu ứng dụng và hộp thoại bị đóng thì bạn đang bị tấn công phishing
• Nếu ứng dụng và hộp thoại vẫn hiển thị. Thì đó là hộp thoại của hệ thống. Vì nó chạy trên nền hệ thống chứ không phải là một phần ứng dụng.
• Không điền thông tin vào các popup quảng cáo.
• Khi nghi ngờ ứng dụng phishing, bạn hãy đóng ứng dụng thay vì nhấn Cancel. Vì Cancel thì các ký tự password bạn nhập trước đó vẫn có thể bị lấy.

 

Tài khoản Apple có 2 loại: icloud và iTune Store

Tài khoản icloud dùng để bảo mật, iTune thì dùng để mua app.

Trong bài kia hacker đã fake được thông báo log in của Apple ID, trong tương lai cũng có thể là thông báo của icloud lắm.

Mà dùng Apple device, mất iCloud là mất cả tất lẫn giầy

 

Vậy ứng dụng độc hài vẫn lọt được vào App store hả bạn?

 

Vụ này theo mình được biết Apple từ chối đưa ra phản hồi. Mà người phát hiện @KrauseFx cũng chỉ mất có 15 phút để thực hiện tấn công phishing kiểu này thì phải?

Cảm ơn bạn Mod.

 

Vụ này mình có tìm hiểu thêm thì xin bổ sung là luôn xác nhận bảo mật 2 lớp để lỡ có mất mật khẩu thì vẫn còn OTP nữa

 

Vậy ứng dụng độc hài vẫn lọt được vào App store hả bạn?

Là nghiên cứu và demo bạn ạ