Fallada en iOS 8.3 permet robar les nostres contrasenyes

Molts dels robatoris de contrasenyes, la immensa majoria, es produeixen usant enginyeria social. Això vol dir que el pseudo-hacker ens coneix prou per saber les nostres contrasenyes a partir dels nostres gustos, preferències o animals, parelles, dates, etc. Fins a l'arribada de la verificació en dos passos, fins podien respondre a les nostres preguntes de seguretat. Però la decisió de què us parlarem en aquest article sí que és una fallada de seguretat que hi ha a iOS 8.3.

Un investigador de seguretat dic jansoucek ha descobert un exploit en iOS que permet a un usuari malintencionat robar-nos les contrasenyes d'iCloud. Tot sembla indicar que iOS 8.3 no aconsegueix filtrar amb èxit codi HTML potencialment perillós embegut en els emails rebuts. el codi prova de concepte que fa servir jansoucek s'aprofita de la sentència esmentat per invocar un HTML remot que sembla idèntic a la finestra d'entrada d'iCloud, de manera que ens enganyaria i ficaríem la nostra contrasenya en el lloc equivocat. La finestra falsa desapareix a l'tocar a "OK".

Hi ha detalls que ens permeten identificar que estem sent víctimes d'aquest sistema per robar-nos la contrasenya. El teclat predictiu no es desactiva com ho hauria de fer, de manera que si veiem un correu que ens fa posar la contrasenya i veiem que el teclat predictiu segueix actiu, només haurem de sortir prement el botó d'inici (home), Cosa que no podríem fer si fos una finestra real. Si no ens adonem, que també seria comprensible, l'usuari malintencionat podria prendre el control del nostre compte impedint recuperar-la.

La millor manera per prevenir el robatori del nostre compte per aquest mètode és activar la verificació en dos passos. En el suposat cas que ens robessin la contrasenya i el lladre intentés entrar des d'un nou dispositiu, se li preguntaria al fet que dispositiu de confiança se li envia el codi i, com no disposa d'ells, no podria robar-nos el nostre compte.

jansoucek assegura que va informar d'aquest error el passat mes de gener, però encara no ha estat llançat cap pegat per solucionar-ho. De tota manera, afirma que funciona a iOS 8.3 i que no ha estat solucionat encara, però no diu si està present en les betes d'iOS 8.4 o no. En realitat sí que podria estar ja solucionat, de manera que publicar aquesta sentència és una irresponsabilitat.