Na początku ery internetu oszustwa phishingowe były zjawiskiem powszechnym. W tamtym okresie, gdy sieć była jeszcze nowa, niewiele osób zdawało sobie sprawę z zagrożeń i często padało ofiarą takich oszustw. Choć dziś świadomość użytkowników wzrosła, przestępcy także dostosowali swoje metody. Wciąż stosują tę samą strategię: udają oficjalne źródła, aby wprowadzić w błąd niczego niepodejrzewających internautów. Przykładem mogą być ostatnie oszustwa phishingowe związane z Google Docs oraz ataki na użytkowników Plex Media VPN, które miały miejsce na początku bieżącego roku. Ostatnią ofiarą tego rodzaju oszustw może być urządzenie z systemem iOS. Złośliwa aplikacja potrafi wyświetlić użytkownikom fałszywy komunikat, prosząc o zalogowanie się do Apple, który w żaden sposób nie różni się od oryginalnego. Wpisując swoje hasło, użytkownik naraża się na wyłudzenie danych.
Problem ten został zidentyfikowany przez badacza bezpieczeństwa Felixa Krause, który zaproponował proste rozwiązanie umożliwiające rozróżnienie pomiędzy fałszywym a autentycznym monitowaniem logowania do Apple.
Jak rozpoznać fałszywy komunikat logowania Apple
Kiedy Apple prosi o podanie hasła, masz tylko dwie opcje: wprowadzić hasło lub nacisnąć przycisk Anuluj, aby zakończyć tę operację. Jeśli podejrzewasz, że dany komunikat jest nieprawdziwy, naciśnij przycisk Początek. Wtedy fałszywy monit o logowanie do Apple powinien zniknąć. Jeżeli komunikat jest autentyczny, pozostanie na ekranie.
Czy Apple powinno podjąć dodatkowe kroki?
Krause zwraca uwagę na fakt, że Apple bardzo starannie sprawdza aplikacje, które trafiają do App Store. Dawniej proces zatwierdzania był dość długi, jednak firma nie chciała go skracać kosztem jakości. Ostatecznie czas ten udało się zredukować, gdy Apple przekonało się, że może skutecznie weryfikować aplikacje w krótszym czasie. W kontekście ochrony użytkowników przed złośliwym oprogramowaniem, firma radzi sobie całkiem nieźle. Mimo to, Krause ma szereg pomysłów na ulepszenia, które mogłyby jeszcze bardziej zabezpieczyć użytkowników przed takimi oszustwami. Pełną listę jego sugestii można znaleźć na jego blogu, gdzie opisuje, jak tego typu oszustwa mogą pozostać niewykryte.
Osobiście uważam, że propozycja Krause, aby Apple zmusiło programistów do umieszczania ikony aplikacji, która prosi o podanie hasła, jest bardzo sensowna. Taki wizualny wskaźnik byłby łatwy do wdrożenia i znacznie ułatwiłby użytkownikom identyfikację potencjalnych zagrożeń.
Na chwilę obecną w App Store nie ma aplikacji, które próbowałyby wyłudzić dane w taki sposób, jednak gdyby taka sytuacja miała miejsce, użytkownicy mogliby nie zdawać sobie z tego sprawy, co utrudniłoby im identyfikację zagrożenia. To właśnie Krause stara się ostrzec wszystkich przed tym problemem.
newsblog.pl
Maciej – redaktor, pasjonat technologii i samozwańczy pogromca błędów w systemie Windows. Zna Linuxa lepiej niż własną lodówkę, a kawa to jego główne źródło zasilania. Pisze, testuje, naprawia – i czasem nawet wyłącza i włącza ponownie. W wolnych chwilach udaje, że odpoczywa, ale i tak kończy z laptopem na kolanach.