iOS: uno sviluppatore spiega come funziona il pop-up fraudolento identico a quello Apple

Uno sviluppatore ha scoperto un pop-up non ufficiale Apple che ruba la password degli Apple ID, ecco come riconoscerlo e proteggersi.

Nella giornata di oggi lo sviluppatore Felix Krause ha condiviso una prova dell’attacco fraudolento che nelle ultime settimane starebbe ingannando numerosi utenti per rubare Apple ID e password associata. Mentre il normale pop-up della compagnia di Cupertino viene richiesto per confermare l’acquisto di applicazioni o altre funzioni, il pop-up in questione sfrutterebbe il medesimo sistema per rubare le informazioni degli utenti.

Come spiega Krause, gli utenti di iPhone e iPad sono abituati ad accettare le richieste ufficiali di Apple di inserimento della password associata al proprio Apple ID per effettuare acquisti o accedere ad iCloud, anche se non ci trova in App Store o iTunes. Ma, alcuni hacker, sfruttando il la stringa di codice UIAlertController che emula il design della notifica di sistema di iOS, sono stati in grado di ricreare un’interfaccia identica come strumento di phishing che inganna gli utenti.

iOS: come difendersi dagli attacchi di phishing

Il phishing è una tecnica illegale sfruttata da diversi hacker per ingannare inconsapevolmente un utente per accedere a dati d’accesso o informazioni di pagamento. Da quanto mostrato dallo sviluppatore, la finestra di dialogo sembra identica a quella utilizzata dalla compagnia di Cupertino per interagire con i propri utenti, caratterizzata dal medesimo aspetto e dalle stesse parole usate nei pop-up ufficiali, con tanto di testo personalizzato.

iOS: uno sviluppatore spiega come funziona il pop up fraudolento identico a quello Apple lazy placeholder TechNinja

Krause spiega che per la creazione di un codice di phishing sarebbero necessarie solo 30 righe di codice, rendendo questo processo rapido e facile da attuare per qualsiasi tipo di sviluppatore iOS. Anche se alcuni avvisi di sistema richiedono che lo sviluppatore sia in possesso dell’indirizzo email di un utente Apple, esistono avvisi pop-up che non richiedono l’indirizzo email e possono così recuperare esclusivamente la password.

Il metodo sfruttato in modo illegale dagli hacker non è una vera novità, infatti molte applicazioni presenti in App Store vengono analizzate con cura prima di essere pubblicate. Tuttavia, vale la pena evidenziare che gli utenti iOS potrebbero imbattersi in quella bassa percentuale di applicazioni di phishing, e Krause spiega come potersi difendere da questi attacchi.

iOS: uno sviluppatore spiega come funziona il pop up fraudolento identico a quello Apple lazy placeholder TechNinja

Per evitare di rimanere vittime dei pop-up di phishing esiste un sistema in grado di riconoscere se si tratti di una richiesta ufficiale o meno. Nel momento della comparsa del messaggio di richiesta password, è sufficiente premere il pulsante Home per chiudere l’applicazione. Infatti, la differenza sostanziale è che mentre il pop-up ufficiale non può essere rimosso attraverso il tasto Home, quello di phishing invece si chiuderà. Inoltre, un secondo sistema per tutelarsi è quello di rimuovere la richiesta di pop-up ed immettere le credenziali direttamente nelle Impostazioni di iPhone e iPad.

Krause afferma di aver riportato il problema ad Apple, suggerendo all’azienda di correggere la situazione implementando nel suo sistema operativo un modo per richiedere le credenziali esclusivamente nelle Impostazioni, piuttosto che passando attraverso un pop-up facilmente emulabile. In alternativa, lo sviluppatore consiglia di includere nel pop-up ufficiale un’icona per assicurarne maggiore attendibilità.

Come protezione extra da attacchi di questo tipo, i clienti Apple dovrebbero abilitare l’autenticazione a due fattori, in quanto questo impedisce agli hacker di accedere ad un account Apple ID senza il codice di un dispositivo associato.