2017年10月11日08:11  新浪手機(jī)   我有話說(shuō)(14人參與) 收藏本文     

左側(cè)是蘋(píng)果官方彈出的密碼框 右側(cè)是釣魚(yú)工具框

　　新浪手機(jī)訊 10月11日上午消息，一名叫Felix Krause的國(guó)外開(kāi)發(fā)者今天公布了一種釣魚(yú)攻擊的新方式，展示了App開(kāi)發(fā)者如何使用蘋(píng)果官方樣式的彈窗騙取用戶的Apple ID和密碼。

　　容易模仿的彈出框

　　iPhone和iPad用戶已經(jīng)習(xí)慣了蘋(píng)果官方彈窗，之后在其中輸入Apple ID和密碼，這種彈窗有時(shí)候不一定會(huì)出現(xiàn)在App Store或iTunes應(yīng)用程序中。采用UIAlertController模擬系統(tǒng)密碼請(qǐng)求彈窗的設(shè)計(jì)樣式，第三方App開(kāi)發(fā)者可以創(chuàng)建一個(gè)完全相同的彈窗用作釣魚(yú)工具，可能很多人會(huì)上當(dāng)。

　　對(duì)此，Krause說(shuō)：

　　它（彈出窗口）代碼少于30行，而且每個(gè)iOS工程師都能夠快速構(gòu)建自己的釣魚(yú)代碼。然而，我決定不開(kāi)源彈出代碼。

　　一些系統(tǒng)提示需要開(kāi)發(fā)者提前獲取用戶的Apple ID（即電子郵件），但也有一些彈窗不需要電子郵件，可以直接要求用戶提供密碼。

　　Krause已經(jīng)向蘋(píng)果公司報(bào)告了這一問(wèn)題，并建議將蘋(píng)果公司要求用戶在設(shè)置中輸入他們的憑證，而不是直接通過(guò)一個(gè)可以很容易模仿的彈出框，或者彈出框上顯示個(gè)App圖標(biāo)，以表明應(yīng)用程序在要求密碼而不是來(lái)自系統(tǒng)。

　　如何避免被騙：

　　這種iOS釣魚(yú)工具并非第一次出現(xiàn)，蘋(píng)果也有很嚴(yán)格的審核機(jī)制，但iOS用戶還是要注意不要從不明渠道下載App。

　　判斷一個(gè)彈出窗口是蘋(píng)果官方的還是釣魚(yú)根據(jù)目前還比較簡(jiǎn)單：如果彈出一個(gè)窗口，點(diǎn)擊Home鍵關(guān)閉應(yīng)用程序窗口消失，那它可能是來(lái)自App的釣魚(yú)攻擊。如果來(lái)自蘋(píng)果的系統(tǒng)，彈窗依然會(huì)存在。

蘋(píng)果官網(wǎng)有如何開(kāi)啟雙重驗(yàn)證的教程

　　另外，我們建議蘋(píng)果產(chǎn)品用戶務(wù)必啟用雙重驗(yàn)證，這樣即便你的Apple ID被盜，犯罪分子也不可能在沒(méi)有驗(yàn)證過(guò)的設(shè)備上登錄。（曉光）