就在这两天，程序员社区 V2EX 爆出来一个苹果 iPhone 的重大漏洞：即使是开通了双重验证的 iOS 设备，也被盗刷了！所谓的双重验证，英文简写为 2FA，是使用两种不同的元素，合并在一起，来确认用户的身份。例如使用网上银行时，不仅要输入密码，还要另外输入 手机验证短信 PIN 码，确认之后才能使用转账等功能。双重验证是最近十多年来用于验证用户身份的一个主流方式，一般来说黑客可能盗走你的银行卡密码，但是它很难盗走你的手机卡，所以安全度还是很高的。不过，有 V2EX 的老哥前天发帖表示，自己丈母娘的 iPhone 开启了双重认证，但还是被恶意 App 盗刷了一万六。这位老哥表示，自己丈母娘曾经在某 App 购买虚拟商品，因此她的 App Store 绑定了微信免密支付。在 7 月 12 日晚间，丈母娘的手机突然被抹掉了资料，变成出厂设置的状态，老哥以为是苹果系统问题，开始给她重新设置。但是在设置过程中，手机陆续收到了短信通知，发现一些短信有银行、支付等字样。老哥反应很快啊，啪的一下就开始联系银行和微信冻结账户。然而就在短短十几分钟内， Apple Store 里就已经产生了二十多笔交易，银行卡被盗刷了一万六千元。老哥经过排查后发现，前一天丈母娘下载了一个叫“菜谱大全”的 App ，它的登录方式是 Apple ID 授权，这一步如果没有开启 iCloud+ 隐藏邮件地址的话，Apple ID 账号邮箱就会泄露：之后呢，会出来一个跟“Apple ID 验证”样式非常像的密码输入框：一般 iOS 设备安装 App 时如果出现人脸识别失败，就会弹出这个密码输入框，丈母娘也没多想，就把自己 Apple ID 的密码给输入进去了。老哥又和丈母娘反复确认有没有弹出双重验证的窗口，丈母娘都说没有。
按道理讲，在开启了双重认证的情况下，除非丈母娘主动输入验证码，否则即便对方拿到了 Apple ID 的账号密码，应该也无法登录才对。但是对方在没有二次验证 PIN 码的情况下，依然能够登陆丈母娘的 Apple ID 并盗刷，完全突破的苹果的双重验证的限制。但是呢，开发这个恶意 App 的黑产人员不仅登陆了丈母娘的 Apple ID，还给绑上了自己的手机号，目的就是为了后续的登录可以通过自己手机号认证和登陆：到了这个时候，双重认证实际就已经失效了，黑产人员可以用自己的手机号来接收短信和登陆账号，完全掌握了这个 Apple ID 了。不过黑产人员并不会直接用 Apple ID 下单支付，而是会创建一个家庭共享，加入另一个小号，由这个小号购买 App 中的虚拟商品，然后让丈母娘的账号付款，丈母娘账号就成了“提款机”，从而实现盗刷。虽然这位老哥已经报警了，不过老哥和苹果官方客服的 Battle 暂时还处于失利阶段，苹果客服拒绝退款：这位老哥把自己丈母娘的经历放到了 V2EX 上，一群程序员一边高呼“这不可能啊”一边开始研究这个 App，最后还是被多位大佬发现了恶意 App 的秘密套路。
正常的 iOS 密码验证弹窗，应该是“Apple ID”，而这个弹窗是“AppLeID”，明显是伪造的。经过其他程序员老哥的核实，这个是恶意软件内置的 WebView 控件，这个隐藏的控件有两个作用，一个是伪装成 Apple ID 的密码验证界面，诱导受骗者输入自己 Apple ID 的密码；另一个作用就是拉起苹果官方的 Apple ID 设置页面，通过人脸识别 + 密码，把黑产人员的手机号添加进受骗者的 Apple ID 之中。而这套操作的关键点，就是利用苹果 iOS 里的一个“逻辑漏洞”：当前手机如果是 Apple ID 此前验证过的可信设备，那么就不需要输入二次验证的 PIN 码，人脸识别验证一下就可以拿到最高权限了。
而这个 WebView 控件可能也具备某种遮盖功能，把苹果人脸识别的动画给挡住了，而被骗的丈母娘此时正盯着屏幕，人脸识别就在她不知情的状态下完成了。有网友复现了恶意 App 的操作，发现在苹果的身份验证页面，登陆后扫完面容，没有双重验证就登陆了。这个时候，就有IT之家网友质疑了：为什么苹果能够让这种诈骗 App 上架的，这是咋审核的？
博主 @BugOS 技术组在拆解这款恶意 App 的时候就表示，如果 App 在递送苹果审核时搞“阴阳版本”，也就是面对审核员一个样式，面对用户一个样式，那是根本审核不出来的。
同时，他也表示，这个黑产钓鱼套路实在做的太隐蔽和难以防范了，哪怕是不太懂数码的年轻人也很容易中招。不过，浪歌在查找这款恶意 App 的相关资料时，就发现早在半年前，就有网友在这款恶意 App 的评论区中称遭到了盗刷账户钱包。
也有IT之家网友表示，在可信任设备上不需要验证码就能修改双重验证，苹果的锅没跑了。归根到底，现在黑产人员无所不用其极，任何一个 Bug 或者逻辑漏洞，都能被犯罪分子耍出花来。不过，面对这个绕开二次验证的套路，我们就没有什么方法防范吗？当然有的，有IT之家老哥就表示，当 iPhone 上出现输入 Apple ID 密码的窗口时，按 Home 键或上划手势尝试退出一下，不能退的就是苹果官方的验证，能退出的就是诈骗 App。
另外，浪歌这里也贡献一个自己常年使用的办法：不给 Apple ID 绑定任何支付渠道，需要通过 Apple ID 购买软件，支付的时候再去买点卡充值。- V2EX - 家人的 Apple ID 开了双重认证，仍然被钓鱼，求大佬解惑，也顺便给大家提个醒
另外，近期还有不少热门内容，点击下方蓝字即可查看：
贫穷令我安全 ↓↓↓