Attenzione ai pop-up che rubano le password
Una finestra che richiede la password del tutto simile a quella di sistema: così alcune app su iOS provano a rubarvi le credenziali. È l’allarme che lo sviluppatore Felix Krause ha lanciato dalle pagine del proprio blog, dimostrando come sia possibile ingannare gli utenti di iPad e iPhone creando dei pop-up di autenticazione uguali agli originali, ma del tutto fasulli. In pratica dei ‘gemelli cattivi’ che, anziché far accedere l’utente al portale richiesto (iCloud, App Store o iTunes), ruba le password. Sarà capitato a tutti gli utenti iPhone e iPad, a volte il sistema per misura di sicurezza, chiede di immettere la propria password iCloud. Ma alcune app truffaldine utilizzano un sistema del tutto simile per rubare le credenziali. Difendersi è semplice: premere il tasto “home” per tornare alla schermata base. Se il popup rimane, è autentico. Se sparisce, è truffaldino.
“L’obiettivo di questo post è quello di mettere fine a un problema presente ormai da molti anni e che ancora non è stato affrontato. Per motivi morali, ho deciso di non includere il codice sorgente effettivo del popup, tuttavia, posso dirvi che è stato veramente facile replicare la finestra di dialogo del sistema”, ha scritto Krause nel suo lungo intervento.
Il materiale per realizzare i pop-up ingannevoli è facilmente reperibile online: si tratta delle Api e delle librerie messe a disposizione da Apple tramite il kit di sviluppo iOS. Insomma, nulla di complicato per un buon programmatore al servizio di applicazione dai fini loschi. In totale si possono creare due tipi distinti di finestre: uno che mostra anche l’indirizzo email dell’utente, l’altro che chiede solo la password. Nel primo modello, in particolare, Krause chiede agli utenti di fare attenzione a un punto (.) che compare alla fine della mail. Se è presente la finestra di dialogo è finta.
Modello di pop-up che conosce la mail dell’utente Apple e chiede l’inserimento della password
La soluzione. Quando compare un pop-up con la richiesta di password, basta premere il pulsante Home. Se l’app si chiude e il messaggio resta in prima vista, significa che il pop-up è legittimo. Al contrario, se la finestra si chiude con l’applicazione significa che il pop-up non era legato al sistema e quindi si trattava di falso. Un’alternativa può essere quella di annullare il pop-up e immettere le credenziali direttamente dalle Impostazioni > iCloud. (fonte)
