iPhone也不安全了,无提醒直接被盗刷1万6

电手 2023-07-28 20:47:22
每每将 Android 手机与 iPhone 放一起比较,配置与系统总是两个对立的选项。

苹果多年来封闭的软件环境和管控确实严格许多,下个 App 都需要输入密码或者验证人脸。


【资料图】

Android 这边虽然近几年国产 UI 也在努力,但有些问题是开放环境天生带来的。

为了尽量减少 App 乱安装、泛滥权限,网上甚至有不少推荐中老年人选择 iPhone 的声音。

然而一向把安全、隐私当招牌的 iPhone ,却突然翻了个大车。

v2ex 论坛用户 @airycanon 发帖称自己丈母娘被钓鱼盗刷了 1万6

小蝾第一反应是不是又啥「低级骗术」?毕竟受害主人公确实有点年纪。

但事实并没有那么简单,也确实是 iPhone 的问题。

先来看看其给出的时间线。

楼主丈母娘手机突然被抹机,重新设置时收到账单信息,发现已被刷万元。

啊这,被骗钱的同时还被抹机,资料没备份就是双重打击了。
不过既然能够被抹机,那必然 Apple ID 被盗了

如果绑定了支付宝/微信免密支付确实可以通过 App Store 把钱刷出去。

如何被盗的呢,原因是下载了一款普普通通的菜谱 App 。

使用 App 需要登录,和不少 App 一样可以使用 Apple ID 快捷登录,很正常吧?

注意!如果你没看出问题,就踩了第一个坑了。

真正的快捷登录界面是这样的,应该是为 xxx登录而非上面的

如果有 iCloud+ 还应该能够隐藏电子邮件。

这一步如果没有意识到不对,你的 Apple ID 就已经被盗了。
不过拿到了你的 Cookies 乃至密码也还不能把钱刷出去。

在非信任设备首次登录还需要通过双重认证。

于是乎,在你完成了第一次登录后,还得再输一次密码。

网络问题需要重新输也算是苹果特色了,挺合理吧?

好吧,这界面是假,不过相信哪怕是年轻人也可能会被这官方样式的界面骗到。

AppleID 的 L 、登录的 陆 …怀疑是在故意筛选目标。

这就是第二道坑了,输入密码的操作其实是在完成骗子添加新的双重认证信任号码的确认。
至此,登录你的 Apple ID 、用新的信任号码通过双重认证、拉小号加入家庭共享、消费全流程都通了。

顺便抹掉你的手机,也是尽量避免你看到账单信息,有更多盗刷时间。

不过为什么在添加信任号码时本机没有弹窗?
鸡贼的是,这一切的操作都是在你自己手机上完成的。

该 App 和许多正常 App 一样内置了 Webview(浏览器内核),简单来说有了它就能在 App 内访问网页,像浏览器一样。

苹果的 Webview 也是允许使用本机 Apple ID 账号快捷登录的。

而在本机已登录 后,添加信任号码是不需要双重认证的,只要再次输入密码…

不得不承认这一套组合技果然高,苹果这 Webview 安全策略也该是致命漏洞了。

苹果引以为傲的安全性就这?

任何 App 其实都可以这样盗取 Apple ID、绕过双重认证,真实的网页内容反正可以轻松隐藏

破绽似乎就只有登录对象以及两错别字,防不胜防。

最后在等待苹果修复的同时,也给大家三条提醒:
任意账号操作都得看清所有信息,哪怕是系统的快捷登录;
App Store 的 App 也不见得就一定安全;
免密支付能关闭就关闭,如果经常用至少也该限额。

好消息!好消息!电粉群时隔一年再度招新!

如果你需要软件硬件大佬帮你解决实际问题,同时想找到一群志同道合的老哥吃瓜调侃吹牛逼,那么这个群,你必进!
在群里,可以和一群基佬讨论软硬件心得,每天收获一个没有卵用的小知识;也能把自己遇到的问题分享出来,大家集体合作制帮你解决~
当然,电手官方也会在群内分享黑科技软件和获取方式,更准备了一堆性价比拉满的好东西,让每个电粉只买对不买贵,拿着镰刀疯狂割消费主义的韭菜!

要进群的宝子,只需要分3步:

1. 长按下方二维码,添加我的微信;

2. 加到我后,会自动弹个群码,识别即可;

3. 开启快乐的电粉男酮之旅。

标签:

广告

Copyright ?   2015-2022 北冰洋商场网版权所有  备案号:沪ICP备2020036824号-3   联系邮箱:562 66 29@qq.com