iOS頻繁要求密碼或使用戶跌入陷阱 一鍵測試真偽免墮釣魚騙局

iOS 不時彈出對話窗要求用戶輸入 iTunes 密碼,而由於用戶亦習以為常,在沒有懷疑的情況下輸入密碼。有研究人員認為,這種習慣的情況隨時讓有心人有機可乘,透過網絡釣魚的方式盜取用戶的 Apple ID 密碼!

慣性輸入密碼降低用戶警覺性
研究人員認為,頻繁要求用戶輸入密碼,會令用戶在面對任何輸入 Apple ID 密碼的要求時失去警覺性。因為輸入密碼的要求沒有固定的出現地方,例如所有 App 連線 iCloud、GameCenter 或者在應用程式內購物時,都會彈出相同的要求畫面,久而久之用戶便會失去警覺性。

研究人員表示,製作像真的系統對話窗極度容易,隨時讓網絡罪犯有機可乘,只要製作幾可亂真的輸入密碼對話窗,背後連接釣魚網站,用戶便會乖乖地輸入,而且即使熟識科技的用戶也隨時中招。

一個按鍵測試真偽
研究人員提出了幾個分辨真偽的方法,例如:當輸入密碼的對話窗彈出時,按 Home 鍵,如果對話窗消失,那個就是釣魚攻擊,如果對話窗仍然存在,便是真的系統對話窗,因為系統對話分開執行,不是任何應用程式的一部份,所以不能透過 Home 鍵取消。第二個方法是雙重認證,但仍然存在風險,因為當用戶沒有第二重證認時,便會提出索取要求,而這訊息也可能是向黑客的伺服器發送。

治本方法需 Apple 處理
針對以上情況,研究人員提出兩個建議,第一個是當要求 iTunes ID時,必需要求用戶打開 iOS 設定的應用程式。第二個是在要求輸入密碼的對話視窗中,顯示該要求由應用程式提出,而並非來自系統。雖然假的對話窗要求黑客知道用戶的電郵地址才能達到像真的效果,但研究人員認為,即使沒有電郵地址,不少用戶仍然是毫不猶豫便輸入自己的密碼。

資料來源:Threat Post

Comments are closed