蘋果開啟兩步驗(yàn)證竟然還被盜號(hào)?釣魚App竟然偽造iOS密碼登錄框 – 藍(lán)點(diǎn)網(wǎng)
昨天 V2EX 上網(wǎng)友分享的蘋果一篇帖子引起了很多的關(guān)注,這名網(wǎng)友的開啟框藍(lán)家人 Apple ID 已經(jīng)開啟兩步驗(yàn)證的情況下,仍然被釣魚且密碼被盜導(dǎo)致賬號(hào)被盜,兩步長(zhǎng)春美女上門預(yù)約(微信180-4582-8235)提供頂級(jí)外圍女上門,可滿足你的一切要求詐騙者利用受害者賬戶信息盜刷 1.6 萬(wàn)元。驗(yàn)證
盜刷方式是竟然p竟采用 Apple ID 家庭共享的方式進(jìn)行,也就是還被將受害者 Apple ID 加入家庭共享并開啟付費(fèi)功能,然后利用其它 Apple ID 賬號(hào)在 App Store 里消費(fèi),盜號(hào)釣魚登錄點(diǎn)網(wǎng)為此網(wǎng)友聯(lián)系蘋果退款結(jié)果還被拒絕了。然偽
在這起案例中有兩個(gè)讓人搞不清的密碼問(wèn)題,第一是蘋果長(zhǎng)春美女上門預(yù)約(微信180-4582-8235)提供頂級(jí)外圍女上門,可滿足你的一切要求詐騙者怎么獲得受害者 Apple ID 密碼的;第二是已經(jīng)開啟兩步驗(yàn)證的情況下,詐騙者是開啟框藍(lán)如何獲得驗(yàn)證碼的。
針對(duì)這兩個(gè)問(wèn)題 V2EX 網(wǎng)友進(jìn)行了討論,兩步最終結(jié)果是驗(yàn)證詐騙者利用蘋果驗(yàn)證機(jī)制的某種漏洞。
先說(shuō)第一個(gè)問(wèn)題,竟然p竟怎么騙密碼:
這個(gè)名為 “菜譜大全” 的還被 App 利用 WebView 偽造了一個(gè)彈窗,這個(gè)彈窗與 iPhone 日常的彈窗非常類似,正常情況下我們?cè)?AppStore 購(gòu)買產(chǎn)品時(shí),如果面容或指紋識(shí)別沒(méi)有通過(guò),則會(huì)彈出輸入密碼的選項(xiàng)。
這個(gè) App 自己偽造了個(gè)彈窗,如果是非專業(yè)用戶,可能看到彈窗就以為是商店彈出的,于是習(xí)慣性的輸入賬號(hào)和密碼。
這也讓藍(lán)點(diǎn)網(wǎng)想起了盒馬先生,之前藍(lán)點(diǎn)網(wǎng)曾經(jīng)遇到過(guò)盒馬先生彈出評(píng)價(jià)窗口,這個(gè)窗口也是偽造的 App 內(nèi)評(píng)分窗口,如果選擇非五星好評(píng),則提交時(shí)盒馬會(huì)彈出反饋的窗口,也就是不向 AppStore 提交評(píng)價(jià);如果用戶點(diǎn)的是五星好評(píng),則向 AppStore 提交評(píng)價(jià)。
所以偽造窗口我是知道的,但通過(guò)蘋果審核上架到 AppStore 里偽造登錄窗口釣魚 Apple ID 密碼的我也是頭一回見(jiàn)。

上圖中可以看到該 App 的登錄窗口是 AppLeID 而非 Apple ID,這應(yīng)該是用來(lái)規(guī)避蘋果審核的?在原帖中有網(wǎng)友提到如果 App 里提到 Apple 則應(yīng)聲明與蘋果無(wú)關(guān),所以詐騙者只能用這種字符來(lái)規(guī)避審核的同時(shí)迷惑用戶。
第二個(gè)問(wèn)題,有密碼不行,驗(yàn)證碼怎么偷的:
這個(gè)問(wèn)題是最難的了,偽造窗口騙密碼并非難事,但怎么騙驗(yàn)證碼呢?受害者自述沒(méi)有在任何地方輸入過(guò)六位數(shù)的驗(yàn)證碼,那詐騙者怎么拿到驗(yàn)證碼的呢?
目前討論的結(jié)果是詐騙者可能利用了蘋果的某種漏洞,首先是在 App 里利用 WebView 直接打開 iCloud 登錄界面,這時(shí)候蘋果會(huì)在 iPhone 上自動(dòng)彈出驗(yàn)證,如果人臉或指紋驗(yàn)證失敗,則需要輸入密碼,這樣也能登錄。
實(shí)際操作中就是詐騙者打開 iCloud 頁(yè)面發(fā)起登錄,然后利用 js 之類的偽造數(shù)據(jù),讓用戶輸入密碼后獲得 Cookie 等。
由于是本機(jī)操作的,所以蘋果可能沒(méi)有經(jīng)過(guò) 2FA 就直接允許登錄了,接著詐騙者利用獲取的 Cookie 或者 token 等進(jìn)行自動(dòng)化操作,在受害者 Apple ID 中添加受信任的手機(jī)號(hào)碼,一旦添加號(hào)碼,這意味著詐騙者這就可以完全控制這個(gè)賬號(hào)。
所以受害者自述沒(méi)有看到 2FA 界面,因?yàn)檫@可能就是沒(méi)有彈出驗(yàn)證碼,僅通過(guò)密碼就搞定了登錄。
添加號(hào)碼后接下來(lái)就可以為所欲為了,包括修改 Apple ID 密碼、遠(yuǎn)程抹掉 iPhone 數(shù)據(jù)、檢查該賬號(hào)下的所有數(shù)據(jù),以及直接加入 Apple ID 家庭組利用綁定的賬號(hào)發(fā)起扣款。
期間詐騙者是沒(méi)有獲得受害者銀行卡號(hào)、密碼、短信驗(yàn)證碼這類數(shù)據(jù)的,所以他們通過(guò) AppStore 內(nèi)購(gòu)來(lái)扣款,說(shuō)白了這也是洗錢。
至于洗錢方式,大概率是通過(guò)某些電商平臺(tái)低價(jià)銷售代充產(chǎn)品,一旦有用戶下單后,詐騙者就可以安排盜刷來(lái)為目標(biāo)賬戶充值代付,這樣就搞定了洗錢環(huán)節(jié)。
這種問(wèn)題怎么防范:
很難,因?yàn)檫@類偽造的彈窗總能騙到非專業(yè)用戶。對(duì)于專業(yè)用戶,如果有條件的話可以上硬件密鑰,這可以提高安全性,但從上面的案例中可以看到本機(jī)鑒權(quán)沒(méi)有發(fā)起 2FA 驗(yàn)證,那硬件密鑰有用嗎?在 Apple ID 上用過(guò)硬件密鑰的用戶可以在 Safari 中打開 https://appleid.apple.com/ 登錄測(cè)試看看。
另一種降低損失的辦法就是無(wú)論是綁定的微信支付還是支付寶,都設(shè)置限額,設(shè)置限額后即便被盜,最多也只能盜刷設(shè)置限額以內(nèi)的金額,不至于造成太大損失。
除了這些辦法,目前好像也沒(méi)什么太好的解決辦法了。