iOS健體應用程式借Touch ID犯案 誘騙用戶支付120美元

近日有研究人員發現兩個看起來很正常的 iOS 健體應用程式,具備一般健體應用程式的功能,但暗地裡卻透過 Apple 的 Touch ID 功能,向疏於防範的用戶下手,盜取受害者的金錢。

正常健體功能作為掩飾
兩個被發現存在問題的健體應用程式是「Fitness Balance App」和「Calories Tracker App」,兩款應用程式看起來都很正常,具備計算 BMI、追蹤每日汲取卡路里或提醒用戶飲水等功能,兩者在 App Store 上都獲得好的評語。然而,有研究人員發現,以上兩款應用程式會偷錢!每一次接近 120 美元,透過偷偷彈出的內容含涉及 Touch ID 功能。

根據受害者公開的內容,在啟動以上其中一個應用程式之後,它要求掃瞄用戶的指紋才能觀看他們的個人卡路里紀錄和減肥建議,當用戶使用 Touch ID 後便會彈出確定付費 119.99 美元的確定,但是彈出的顯示只維持 1 秒。如果用戶把信用卡或預付卡連結到 Apple 帳號,步驟就會當作確定步驟,把錢發送到騙途帳號。如果用戶拒絕掃瞄指紋,應用程式會彈出其他畫面要求用戶按「Continue」鍵以繼續使用程式,按下之後又會再次出現掃瞄指紋的畫面。

獲得 5 星評級和用戶好評
其中一個令用戶更容易墮入陷阱的原因,是兩個應用程式在 App Store 上都獲得 5 星和 4.3 星的高度評價,而且至少有 18 個用戶正面評價。製作價評語是騙徒常用的手法,令應用程式看起來更加可信。當受害者嘗試聯絡應用程式以取得退款時,應用程式會出現公式回應和承諾在將來的 1.1 版本修復問題。

相似手法日後可能繼續增加
現時兩個應用程式已經從 App Store 下架,研究人員認為,日後可能有更多想似的行騙應用程式出現,因為行騙的手法在執行上十分簡單。而 Apple 方面並沒有對事件作出回應,雖然 Apple 以嚴格核實 App Store 上架應用程式而聞名,但是過去亦層經面對過違反私隱和保安應用程式的問題,在今年 9 月,Apple 從 Mac Store 移除一款名為 Adware Doctor 的高排名應用程式,因為有研究人員發現該應用程式違反 Apple 的沙盒保安政策,也曾經發生應用程式收集瀏覽器紀錄等情況。

其實 Android 也面對相同情況,近日有研究人員聲稱發現 7 款來自「Kika Tech」公司的應用程式,盜取用戶超過百萬美元。用戶只能夠在瀏覽用戶評語時,額外提高警覺,尋找騙徒的蛛絲馬跡。

資料來源:ThreatPost

Comments are closed