WSJ: злоумышленники крадут аккаунты Apple ID, подглядев PIN-код смартфона
Платформа позволяет восстановить «забытый» пароль от аккаунта, указав короткий цифровой код от смартфона.
Газета The Wall Street Journal описала несколько случаев кражи аккаунтов Apple ID: злоумышленники получают не только все пользовательские данные, но и финансовую информацию жертвы.
Обычно всё начинается со знакомства с жертвой в баре или ночном клубе. Мошенник просит показать Snapchat или включить камеру на iPhone, и наблюдает за вводом PIN-кода от смартфона. Затем устройство выхватывается из рук или отнимается силой.
Получив физический доступ к устройству и PIN-код от него, злоумышленник может изменить пароль от Apple ID, завладев всей информацией. Система также позволяет выйти из учётной записи на других девайсах, предотвратив возможность удалённой блокировки через сервис «Локатор».
Несколько жертв рассказали журналистам, что таким образом преступники получили доступ к банковским приложениям и выпустили виртуальные кредитные карты на их имена. Двухфакторная аутентификация по SMS не создаёт сложностей: одноразовые коды приходят на тот же самый iPhone, что уже в руках у злоумышленника.
По словам детектива полицейского департамента Нью-Йорка в отставке, с которым поговорила WSJ, за последние два года в городе совершены «сотни» подобных преступлений.
Представители Apple отметили, что система восстановления пароля от Apple ID через PIN-код смартфона предназначена для помощи пользователям, которые забыли свой пароль.
«Мы сочувствуем пользователям, столкнувшимся с этим, и очень серьезно относимся ко всем атакам на наших клиентов, насколько редкими они ни были. Мы продолжим улучшать средства защиты, чтобы обеспечить безопасность учётных записей», — представитель Apple
Аналогичная возможность восстановления пароля от Google Account действует и в Android. Пользователь может сбросить защиту учётной записи в разделе смартфона «Настройки» → «Google» → «Управление аккаунтом Google» → «Безопасность» → «Пароль» → «Забыли пароль?» → «Разблокируйте экран». Аккаунт можно защитить от подобных атак через программу «Дополнительная защита», рассказал редактор Esper Мишаал Рахман. Но для неё придётся приобрести физический ключ безопасности.