Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
IconAds: quando le app fantasma diventano portali pubblicitari
Ransomware e conflitti d’interesse: ex negoziatore sotto inchiesta per presunti legami con i cybercriminali
In aumento i cyberattacchi dall’Iran: l’allarme delle agenzie di sicurezza americane
Una vulnerabilità di Open VSX Registry mette in pericolo milioni di sviluppatori
Le stampanti multifunzione sono piene di bug! Uno espone la password di admin e Brother fa il record

Due app di fitness per iOS rubavano soldi sfruttando Touch ID

Dic 05, 2018 Marco Schiaffino In evidenza, Malware, News, RSS 0

Il trucchetto permetteva di indurre le vittime ad autenticarsi ed eseguire pagamenti “nascosti”. Apple ha rimosso le app dallo store.

Utilizzare la propria impronta digitale come strumento di autenticazione è certamente un metodo comodo e sicuro, o per lo meno più sicuro di un semplice accesso tramite password.

Il problema è che di fronte a una soluzione tecnica apparentemente “blindata”, c’è sempre qualcuno abbastanza furbo da riuscire a trovare il modo di aggirarlo con la semplice astuzia. Per esempio utilizzando la scusa del fitness per indurre la vittima ad appoggiare il proprio dito sul sensore.

Il caso riportato da ESET sul blog ufficiale della società di sicurezza è l’ennesima conferma di questa regola. Tanto più che a finire vittima di una truffa decisamente ben congegnata è stata Apple, che ha lanciato per prima il riconoscimento delle impronte digitali con Touch ID e che (di solito) riesce anche a individuare le app malevole prima che finiscano sul suo App Store.

Le due app dedicate al fitness (Fitness Balance e Calories Tracker) comparse recentemente sull’App Store sono riuscite però a “volare sotto i radar” e hanno consentito ai loro autori di incassare un bel po’ di soldi.

Si tratta di applicazioni piuttosto banali, che offrono strumenti per monitorare la propria dieta o controllare di assumere sufficiente acqua nel corso della giornata. Per creare una “dieta personalizzata”, però, chiedevano di autenticarsi usando la propria impronta digitale.

Peccato che in realtà la procedura sia un acquisto in app, di un importo oltretutto notevole: stando alle segnalazioni comparse su Reddit, si va dai 99 dollari ai 139 euro.

Ma com’è possibile che un’app possa avviare una procedura del genere senza alcuna notifica? Non lo è. La notifica, infatti, compare sullo schermo ma solo per una frazione di secondo.

Gli unici utenti iOS che non hanno rischiato di cadere nel tranello sono i proprietari del nuovo iPhone X che hanno attivato il sistema di conferma aggiuntivo per i pagamenti attraverso la doppia pressione sul pulsante laterale dello smartphone.

In queste condizioni infatti, il fatto che si tratti di un pagamento diventa evidente grazie al messaggio che richiede la conferma.

Dopo le segnalazioni comparse su Reddit, Apple ha rimosso le app in questione, che nello store avevano anche delle valutazioni elevate da parte degli utenti, probabilmente grazie a un’attività di “poisoning” delle recensioni eseguita dallo stesso autore.

Rimane un mistero come l’autore delle app sia riuscito a superare i (normalmente severissimi) controlli di Apple.

Condividi l'articolo