Жертв приваблювали позитивні відгуки та відносно високий рейтинг додатків.

iphone

Користувачі соціальної мережі Reddit вказали на підозрілі програми, які були в офіційному магазині Apple App Store. Пара інструментів, що використовуються для пропаганди здорового способу життя, таємно намагалася викрасти гроші із пов'язаної платіжної картки.

Більше інформації про загрозу опублікував портал Ars Technica.

Позитивні оцінки були приманкою

Додатки "Фітнес-баланс" та "Відстежувач калорій" були розроблені спеціально для любителів спорту, оскільки вони контролювали основні атрибути здоров'я, такі як фізичні вправи, фітнес-діяльність або спалені калорії.

За даними охоронної компанії Eset, вони були в офіційному App Store, маючи кілька 5-зіркових рейтингів та принаймні 18 позитивних відгуків. Середній рейтинг становив 4,3 з 5. На перший погляд, ці фітнес-інструменти не викликали жодних підозр.

Під час першого запуску однієї з цих програм з’явиться спливаюче вікно з проханням взяти відбиток пальця. Під приводом персоналізації (відстеження спалених калорій, відображення рекомендацій щодо вживання їжі тощо) користувач повинен пройти автентифікацію за допомогою відбитка пальця.

Платіж підписується відбитком пальця

Однак після успішної перевірки програма спробує викрасти суму з 99,99 до 119,99 доларів США або 139,99 євро відповідно зі зв’язаної кредитної картки. Тут для підписання платежу використовується сканування відбитків пальців, про яке користувач дізнається, коли буде занадто пізно. Детальна інформація про платіж відображатиметься лише короткий час.

Якщо до облікового запису користувача прив’язана платіжна картка, операція вважається підтвердженою. Гроші негайно надсилаються автору шкідливої ​​програми - без подальшого підтвердження або автентифікації.

В рамках демонстрації Лукаш Штефанко з Есету опублікував відео:

Програми вже видалено з магазину

Один користувач Reddit намагався зв’язатися з автором шкідливої ​​програми. Однак відповідь була, мабуть, лише автоматичною, в якій розробник пообіцяв виправити "помилку" в новій версії. З тих пір Apple видалила проблемні програми. Крім того, за даними порталу Bleeping Computer, усі постраждалі люди можуть вимагати повернення коштів за таким посиланням.

Попередні результати розслідування також дали відповідь на питання про те, як такий шкідливий додаток може мати стільки позитивних відгуків користувачів. Це підроблені огляди, метою яких є зробити додаток видимим і створити враження, що це безпечний та корисний фітнес-засіб.

А як захиститися від подібних загроз? Користувачі останнього iPhone X можуть активувати додаткову функцію "Подвійне клацання для оплати". Інші повинні відмовитись від комфорту, і єдиний варіант - деактивувати Touch ID для iTunes Store та App Store. Інструкції щодо цього можна знайти в офіційній документації за цим посиланням.