Un hacker demuestra cómo puede robarte tu Apple ID a través de un malware
Si tienes un iPhone, estarás acostumbrado a lo que parece una solicitud constante de tu ID de Apple cuando compras en iTunes, en el App Store o dentro de aplicaciones. Aparece una pequeña ventana emergente, entornas los ojos e ingresas tu contraseña.
Pero, ¿qué pasa si esa ventana emergente no proviene de Apple y, en su lugar, ha sido diseñada para que parezca una petición oficial en un intento de robo de credenciales por parte de los hackers? Este es el caso del desarrollador de aplicaciones Felix Krause, que ha escrito el código de un sistema para penetrar a través de ventanas emergentes maliciosas.
Como Krause señala, se pueden utilizar menos de 30 líneas de código para crear un diálogo de phishing muy convincente. En las fotos de lado a lado, compara la solicitud de contraseña de ID oficial de Apple con sus propios esfuerzos. La idea sería que el código se introduce escondido dentro de una aplicación, de modo que el usuario vea la notificación de la aplicación (y no la interfaz de usuario de Apple) en realidad. Como muestran sus fotos, esto puede ser diseñado por un desarrollador para que parezca idéntico a una ventana emergente de «Iniciar sesión en iTunes Store».
El principal problema, por parte de Apple, es que iOS dificulta la diferencia entre las fuentes de notificación. El iOS debería distinguir muy claramente entre la interfaz de usuario del sistema y los elementos de la interfaz de usuario de la aplicación, de modo que lo ideal sería que[…] sea obvio para el usuario medio de un smartphone que algo parece estar mal «, dice Krause.
Este es un problema delicado de resolver, y el navegador web todavía lo está abordando; todavía tienes sitios web que hacen que los pop-ups parezcan macOS / iOS, por lo que muchos usuarios piensan que son mensajes del sistema «.
Krause añade algunas soluciones potenciales al problema, como forzar al usuario a introducir su contraseña en la aplicación de configuración en lugar de una ventana emergente. Lo más probable es que su sugerencia sea que Apple cambie el diseño de su sistema para incluir un icono adicional que indique que es una petición oficial. Señala el signo de exclamación utilizado en algunas notificaciones push, a continuación.
- MIRA TAMBIÉN: Cinco formas de proteger tu negocio de los hackers
Por ahora, el desarrollador señala un par de pasos que los usuarios pueden dar para evitar el phishing móvil. Lo más sencillo es pulsar el botón Inicio. Si esto cierra la aplicación y el diálogo, entonces fue un ataque de phishing. Si el diálogo y la aplicación siguen visibles, entonces es un diálogo del sistema.
También vale la pena señalar que este tipo de ataque dependería de la aplicación maliciosa que pasa por el proceso de revisión de la App Store, y del código que el desarrollador activa. Apple está generalmente atenta a este tipo de cosas, y tomaría medidas si se detectara tal violación de sus directrices. Krause, sin embargo, señala que «las organizaciones con mala intención siempre encontrarán la forma de trabajar de alguna manera en torno a las limitaciones de una plataforma».
Si te ha gustado esta noticia y quieres más, date de alta en nuestra newsletter:
