Falha de segurança no iOS permite roubar senhas

Mais uma falha de segurança no iOS permite roubar senhas e o pior é que ela existe desde janeiro e há uma grande possibilidade de você já ter sido atacado e nem ter percebido.

[ad#texto]

São dias negros para os usuários do iOS, em abril deste ano uma falha de segurança atingiu 25 mil apps, depois um malware infectava automaticamente dispositivos como iOS e por aí vai. Agora uma nova falha de segurança no iOS permite roubar senhas do iCloud de maneira muito simples.

Falha de segurança no iOS permite roubar senhas
Falha de segurança no iOS permite roubar senhas

A origem da falha de segurança é o app Mail e além da vulnerabilidade técnica ela é baseada também na engenharia social, já que é comum vermos janelas solicitando confirmação de dados em momentos inesperados então uma janela a mais ou a menos simplesmente passa desapercebida para a grande maioria dos usuários.

Então aproveitando-se disso a técnica vem sendo explorada a vontade e o pior que vem obtendo sucesso em todos os níveis de usuários.

Pelo menos até agora, pois após a divulgação deste método de exploração é provável que boa parte dos usuários estejam mais atentos em quais circunstancias as janelas aparecem e qual tipo de informação elas solicitam ao usuário.

Falha de segurança no iOS permite roubar senhas: como funciona

A técnica é bem simples, consiste em enviar uma mensagem contendo código HTML para gerar uma falsa mensagem solicitando a senha do iCloud e como o app Mail não efetua qualquer tipo de filtro ou validação do HTML recebido nas mensagens a janela é exibida ao usuário.

O código HTML malicioso reproduz uma janela idêntica a original, que somada ao fato da engenharia social citado acima a taxa de sucesso (do usuário realmente digitar seu usuário e senha) é alta, feita a digitação os dados são enviadas ao invasor.

Essa incapacidade do Mail de filtrar tags HTML que podem oferecer perigo foi descoberta pelo pesquisador Jan Soucek e a princípio ela existe desde janeiro deste ano.

Falha de segurança no iOS permite roubar senhas: como se proteger

A Apple foi notificada desde o dia 15 de janeiro e até agora não resolveu o problema, o que fez o pesquisar publicar uma prova de conceito no Github, mas para se precaver até que um patch de correção seja libera é preciso se atentar para alguns detalhes:

  • Uma janela legítima é modal, ou seja, quando ela surgir você não conseguirá fazer mais nada a não ser clicar em OK ou Cancelar, já no caso da janela falsa basta pressionar o botão Home ou alternar de aplicativo que a janela irá desaparecer;
  • Se você utilizar Touch ID qualquer outra janela que surgir pedindo seus dados de login será falsa.

Enfim, a janela imita com maestria uma janela original, porém pequenos detalhes devem ser observados, caso contrário existe uma grande possibilidade de você ter seus dados capturados por alguém.

Falha de segurança no iOS permite roubar senhas: eu enviei meus dados na janela falsa, o que fazer?

Se você inadvertidamente já enviou seus dados de login em uma janela falsa altere a senha imediatamente.

Caso o atacante já tenha “tomado posse” do seu iCloud e alterado a senha por conta própria procure a Apple e tente recuperar o seu acesso o mais rápido possível.

Petter Rafael

Desenvolvedor Web atua com as tecnologias Java e PHP apoiadas pelos bancos de dados Oracle e MySQL. Além dos ambientes de desenvolvimento acima possuiu amplo conhecimento em servidores Apache/Tomcat, Photoshop, Arte & Foto, Flash e mais uma dezena de ferramentas e tecnologias emergentes. Atualmente colabora com o Viablog escrevendo sobre programação e tecnologia.