El truco muestra cómo los delincuentes pueden robar su ID de Apple usando ventanas emergentes engañosas

Si tiene un iPhone, se acostumbrará a lo que parece una solicitud constante de su ID de Apple cuando compre en iTunes, App Store o aplicaciones. Aparece una pequeña ventana emergente, pones los ojos en blanco e ingresas obedientemente tu contraseña.

Pero, ¿qué sucede si esta ventana emergente no proviene de Apple, sino que fue diseñada para parecerse a una solicitud oficial en un intento de un pirata informático de robar sus credenciales? Este es exactamente el caso presentado por el desarrollador de aplicaciones Felix Krause, quien escribió al p. desglose de la prueba de concepto ventanas emergentes maliciosas.

Como señala Krause, se pueden usar menos de 30 líneas de código para crear un diálogo muy convincente sobre el phishing. En las imágenes al lado, compara la solicitud oficial de una contraseña de ID de Apple con sus esfuerzos. La idea es que el código se introduzca de contrabando con la aplicación, por lo que en realidad es una notificación de la aplicación, no la interfaz de usuario de Apple, lo que ve el usuario. Como muestran sus fotos, el desarrollador puede diseñarlo para que se vea idéntico a la ventana emergente "Iniciar sesión en iTunes Store".

El principal problema, por parte de Apple, es que a iOS le cuesta distinguir las fuentes de las notificaciones. “IOS debe distinguir muy claramente entre la interfaz del sistema y los elementos de la interfaz de la aplicación, por lo que idealmente esto es tan […] para el usuario promedio de teléfonos inteligentes, es obvio que algo parece estar mal”, dice Krause.

“Es un problema complicado de resolver, y el navegador web aún lo resuelve; todavía tiene sitios web que crean ventanas emergentes similares a las ventanas emergentes de macOS / iOS, por lo que muchos usuarios piensan [they are] Mensaje del sistema[s]».

Krause agrega varias soluciones potenciales al problema, como obligar al usuario a ingresar su contraseña en la configuración en lugar de en una ventana emergente. La mayoría de las veces, su propuesta será que Apple cambie el diseño de su sistema para incluir un ícono adicional que indique que se trata de una solicitud oficial. Apunta al signo de exclamación utilizado en algunas de las notificaciones push a continuación.App_store_phishing_2

Ahora, el desarrollador señala que los usuarios pueden tomar algunas medidas para evitar el phishing móvil. La forma más fácil es presionar el botón Inicio. Si cierra el programa y el cuadro de diálogo, entonces fue un ataque de phishing. Si el cuadro de diálogo y el programa todavía están visibles, es un cuadro de diálogo del sistema.

También se debe tener en cuenta que este tipo de ataque dependerá de qué malware esté penetrando el proceso de revisión de la App Store y luego el desarrollador activa el código. Apple tiende a lidiar con este tipo de cosas y tomará medidas si se encuentra tal incumplimiento de sus recomendaciones. Sin embargo, Krause señala que “Las organizaciones con malas intenciones siempre encontrarán la forma de eludir las limitaciones de la plataforma".

Artículos de interés

Subir