Apple ID双重认证漏洞曝光！诈骗者利用菜谱应用窃取资金

驱动中国2023年7月25日消息，据悉，V2EX社区上的一条热门帖子引起了广泛关注。用户airycanon声称，尽管其家人在iPhone上启用了Apple ID双重认证，但仍然被钓鱼者骗取了资金。据称，该家人在App Store上下载了一个菜谱类应用程序，并使用Apple ID进行授权登录。随后，该应用程序弹出一个密码输入框，用户输入密码后，账号信息就被骗走了。整个过程中没有出现双重认证的弹窗。

根据博主@BugOS技术组的测试结果显示，在受信任设备中，应用程序通过隐藏WebView访问appleid.apple.com时不需要进行双重验证。这个严重漏洞使得用户只需扫描面部即可登录。该应用程序还通过伪造对话框来欺骗用户输入密码，并将诈骗者的手机号添加到双重认证的信任号码列表中。这样一来，诈骗者可以远程擦除设备，使用户无法接收到扣款信息，并进行盗刷操作。从整个原理来看，这种方法确实具有隐蔽性和难以防范性质。目前尚不清楚苹果公司何时会修复这个漏洞。博主@BugOS技术组表示，当iPhone出现要求输入Apple ID密码的窗口时，用户可以尝试按下Home键或上滑手势来退出。能够成功退出的窗口都是诈骗行为。