iPhone被盜刷1萬(wàn)6，絲滑連招防不勝防
每每將 Android 手機(jī)與 iPhone 放一起比較，配置與系統(tǒng)總是兩個(gè)對(duì)立的選項(xiàng)。蘋果多年來(lái)封閉的軟件環(huán)境和管控確實(shí)嚴(yán)格許多，下個(gè)App都需要輸入密碼或者驗(yàn)證人臉。為了盡量減少 App 亂安裝、泛濫權(quán)限，網(wǎng)上甚至有不少推薦中老年人選擇 iPhone 的聲音。然而一向把安全、隱私當(dāng)招牌的 iPhone，卻突然翻了個(gè)大車，沒錯(cuò)，iPhone被盜刷了。
iPhone被盜刷事件
v2ex 論壇用戶 @airycanon 發(fā)帖稱自己丈母娘被釣魚盜刷了 1萬(wàn)6 。
小蠑?shù)谝环磻?yīng)是不是又啥「低級(jí)騙術(shù)」？畢竟受害主人公確實(shí)有點(diǎn)年紀(jì)。但事實(shí)并沒有那么簡(jiǎn)單，也確實(shí)是iPhone安全漏洞的問(wèn)題。
先來(lái)看看其給出的時(shí)間線。樓主丈母娘手機(jī)突然被抹機(jī)，重新設(shè)置時(shí)收到賬單信息，發(fā)現(xiàn)已被刷1.6萬(wàn)元。
啊這，被騙錢的同時(shí)還被抹機(jī)，資料沒備份就是雙重打擊了。不過(guò)既然能夠被抹機(jī)，那必然 Apple ID 被盜了。如果綁定了支付寶/微信免密支付確實(shí)可以通過(guò) App Store 把錢刷出去。
?
iPhone被盜刷背后的邏輯
如何被盜的呢，原因是下載了一款普普通通的菜譜 App 。使用 App 需要登錄，和不少 App 一樣可以使用 Apple ID 快捷登錄，很正常吧？注意！如果你沒看出問(wèn)題，就踩了第一個(gè)坑了。
?
真正的快捷登錄界面是這樣的，應(yīng)該是為 xxx 登錄而非上面的 apple.com 。如果有 iCloud+ 還應(yīng)該能夠隱藏電子郵件。?
這一步如果沒有意識(shí)到不對(duì)，Apple ID被盜也就立馬會(huì)成為現(xiàn)實(shí)。不過(guò)拿到了你的 Cookies 乃至密碼也還不能把錢刷出去。在非信任設(shè)備首次登錄還需要通過(guò)雙重認(rèn)證。
于是乎，在你完成了第一次登錄后，還得再輸一次密碼。網(wǎng)絡(luò)問(wèn)題需要重新輸也算是蘋果特色了，挺合理吧？
?
好吧，這界面是假的，不過(guò)相信哪怕是年輕人也可能會(huì)被這官方樣式的界面騙到。AppleID 的L 、登錄的陸 …懷疑是在故意篩選目標(biāo)。這就是第二道坑了，輸入密碼的操作其實(shí)是在完成騙子添加新的雙重認(rèn)證信任號(hào)碼的確認(rèn)。?
至此，登錄你的 Apple ID 、用新的信任號(hào)碼通過(guò)雙重認(rèn)證、拉小號(hào)加入家庭共享、消費(fèi)全流程都通了。順便抹掉你的手機(jī)，也是盡量避免你看到賬單信息，有更多盜刷時(shí)間。不過(guò)為什么在添加信任號(hào)碼時(shí)本機(jī)沒有彈窗？?
雞賊的是，這一切的操作都是在你自己手機(jī)上完成的。該 App 和許多正常 App 一樣內(nèi)置了 Webview（瀏覽器內(nèi)核），簡(jiǎn)單來(lái)說(shuō)有了它就能在 App 內(nèi)訪問(wèn)網(wǎng)頁(yè)，像瀏覽器一樣。
蘋果的 Webview 也是允許使用本機(jī) Apple ID 賬號(hào)快捷登錄的。而在本機(jī)已登錄 appleied.apple.com 后，添加信任號(hào)碼是不需要雙重認(rèn)證的，只要再次輸入密碼…
?
看到這里想必大家也明白此次iPhone被盜刷事件的整體邏輯，不得不承認(rèn)這一套組合技果然高，這次的iPhone安全漏洞屬實(shí)得Webview的安全策略背鍋。蘋果引以為傲的安全性就這？
任何 App 其實(shí)都可以這樣操作致使Apple ID被盜取，并繞過(guò)雙重認(rèn)證，真實(shí)的網(wǎng)頁(yè)內(nèi)容反正可以輕松隱藏。破綻似乎就只有登錄對(duì)象以及兩錯(cuò)別字，防不勝防。
最后在等待蘋果修復(fù)iPhone安全漏洞的同時(shí)，也給大家三條提醒：
任意賬號(hào)操作都得看清所有信息，哪怕是系統(tǒng)的快捷登錄；
App Store 的 App 也不見得就一定安全；
免密支付能關(guān)閉就關(guān)閉，如果經(jīng)常用至少也該限額。
總結(jié)
吃一塹長(zhǎng)一智，在使用APP的時(shí)候“睜大眼睛”，就能避免大多數(shù)iPhone被盜刷，Apple ID被盜的慘劇發(fā)生。也別犯經(jīng)驗(yàn)主義的毛病，一路點(diǎn)點(diǎn)點(diǎn)然后把手機(jī)權(quán)限拱手分給了別人。
