| 2 августа 2016 г. — 5:16 PT
Уязвимость в приложении для денежных переводов iOS Venmo позволяла любому, кому удавалось получить доступ к заблокированному iPhone хотя бы на две минуты, опустошить счет, украв до еженедельного лимита в $2999,99.
TNW сообщает, что уязвимость была обнаружена инженером по безопасности SalesForce Мартином Виго, который уведомил Venmo и дождался закрытия лазейки, прежде чем продемонстрировать метод…
Я вспомнил, что можно использовать Siri для отправки SMS, когда ваше устройство заблокировано. Стоит отметить, что эта функция включена по умолчанию и стала особенно популярной после добавления функции «Привет, Siri» в iOS 9.
Теперь, когда мы знаем, что можем отправлять SMS на заблокированные устройства, нам нужен код, присутствующий в SMS, чтобы ответить и произвести оплату. Apple представила функцию «Предварительный просмотр текстовых сообщений», которая позволяет вам видеть на экране блокировки, кто отправил вам текст, и часть содержимого. Это также включено по умолчанию.
Если мы объединим эти две функции, я смогу увидеть SMS с кодом и ответить с помощью Siri. Все это без разблокировки устройства. Все это готово к использованию.
Все, что нужно было сделать злоумышленнику, — это отправить текстовое сообщение для активации SMS-сервиса Venmo с iPhone жертвы, отправить запрос на деньги со своего телефона, а затем ответить кодом подтверждения с телефона жертвы. Инициирующие и подтверждающие тексты могли быть отправлены с заблокированного iPhone.
Venmo был вынужден удалить функцию «ответить для оплаты», чтобы предотвратить подобные атаки.
Venmo, принадлежащий Paypal, изначально был запущен как сервис для личных платежей, но в начале этого года добавил опцию платежей в приложении, предлагая функциональность, аналогичную Apple Pay при совершении покупок внутри приложения.
Вы можете посмотреть видеодемонстрацию ниже.
https://www.youtube.com/watch?v=2BmN7NCMES4