Akıllı telefonlar için şüpheli kimlik doğrulama uygulamaları saçmalığı önemli bir sorun olmaya devam ediyor: Güvenlik araştırmacılarının aylardır hakkında uyarıda bulunduğu iPhone uygulamalarından biri, şu anda Apple’ın App Store’undaki üretkenlik uygulama listelerinin başında yer alıyor. Yüksek sayıda indirme sağlamak için iddia edilen 2FA uygulaması elbette Apple’ın reklam platformunu da temel alıyor ve “Microsoft Authenticator” gibi ücretsiz, gerçek 2FA uygulamaları için ilk arama sonucu olarak görünüyor. Geliştiricilere göre, banner reklamda gösterilen ekran görüntüleri bile bir Microsoft uygulaması gibi görünecek şekilde uyarlanmıştır.
Uygun bir uygulama içi satın alma olarak pahalı abonelikler
Bu tür kimlik doğrulama uygulamaları yalnızca reklamlarla dolu değil, aynı zamanda kullanıcıları otomatik olarak yenilenen aboneliklere kaydolmaları için kandırmak için yaygın dolandırıcılık taktikleri kullanıyor. Bu, örneğin, satın alma iletişim kutusundaki kapat düğmesinin gecikmeli olarak görüntülenmesini ve birkaç gün süren ücretsiz test aşamasına odaklanmayı içerir.
Haftalık bir geçiş, hızlı bir şekilde 5 avro veya daha fazla, yılda 200 avronun çok üzerinde. Biraz daha ucuz olan yıllık fiyatlar da uzun süreli aboneliği cazip hale getirmelidir. Şüpheli uygulamalar genellikle çok sayıda 5 yıldızlı incelemeye sahiptir, ancak gerçek kullanıcılar tarafından yazılmış gibi okunmazlar.
Uygulama, gizli tohumları üçüncü şahıslara iletir
Uygulamalar, yerleşik ücretsiz 2FA araçlarına göre herhangi bir katma değer sağlamıyor gibi görünüyor, tam tersine: bu uygulamalardan bazıları, görünüşe göre aslında gizli “tohum” u düz metin olarak iletiyor ve buradan iki faktör için tek seferlik kod kimlik doğrulama, Mysk geliştirici ikilisi tarafından erişim bildirildiğinde hesaplanır. Saldırganlar, tohum bilgileriyle, iki faktörlü kimlik doğrulamayı sanal olarak atlayabilir ve kullanıcı adlarını ve parolalarını zaten biliyorlarsa, bununla korunan hesaplara erişebilir. Ancak, verilerin gerçekten bu tür saldırılar için kullanılıp kullanılmadığı belli değil – uygulamaların hedefi abonelik satışı gibi görünüyor.
Bu tür 2FA enayi uygulamaları, yalnızca iPhone’u değil, Android kullanıcılarını da hedef alır, bu nedenle yalnızca Apple App Store’da değil, Google Play Store’da da bulunabilirler. Mysk, Apple’ın sorundan aylar önce haberdar edildiğini, şirketin bireysel kopyaları kaldırdığını ancak diğerlerini kaldırmadığını belirtiyor. Apple bu tür uygulamalardan iki kat kazanıyor: platform operatörü satılan abonelikler için komisyon alıyor ve App Store’daki reklamlardan para kazanıyor.
(lbe)
Haberin Sonu
Uygun bir uygulama içi satın alma olarak pahalı abonelikler
Bu tür kimlik doğrulama uygulamaları yalnızca reklamlarla dolu değil, aynı zamanda kullanıcıları otomatik olarak yenilenen aboneliklere kaydolmaları için kandırmak için yaygın dolandırıcılık taktikleri kullanıyor. Bu, örneğin, satın alma iletişim kutusundaki kapat düğmesinin gecikmeli olarak görüntülenmesini ve birkaç gün süren ücretsiz test aşamasına odaklanmayı içerir.
Haftalık bir geçiş, hızlı bir şekilde 5 avro veya daha fazla, yılda 200 avronun çok üzerinde. Biraz daha ucuz olan yıllık fiyatlar da uzun süreli aboneliği cazip hale getirmelidir. Şüpheli uygulamalar genellikle çok sayıda 5 yıldızlı incelemeye sahiptir, ancak gerçek kullanıcılar tarafından yazılmış gibi okunmazlar.
Uygulama, gizli tohumları üçüncü şahıslara iletir
Uygulamalar, yerleşik ücretsiz 2FA araçlarına göre herhangi bir katma değer sağlamıyor gibi görünüyor, tam tersine: bu uygulamalardan bazıları, görünüşe göre aslında gizli “tohum” u düz metin olarak iletiyor ve buradan iki faktör için tek seferlik kod kimlik doğrulama, Mysk geliştirici ikilisi tarafından erişim bildirildiğinde hesaplanır. Saldırganlar, tohum bilgileriyle, iki faktörlü kimlik doğrulamayı sanal olarak atlayabilir ve kullanıcı adlarını ve parolalarını zaten biliyorlarsa, bununla korunan hesaplara erişebilir. Ancak, verilerin gerçekten bu tür saldırılar için kullanılıp kullanılmadığı belli değil – uygulamaların hedefi abonelik satışı gibi görünüyor.
Bu tür 2FA enayi uygulamaları, yalnızca iPhone’u değil, Android kullanıcılarını da hedef alır, bu nedenle yalnızca Apple App Store’da değil, Google Play Store’da da bulunabilirler. Mysk, Apple’ın sorundan aylar önce haberdar edildiğini, şirketin bireysel kopyaları kaldırdığını ancak diğerlerini kaldırmadığını belirtiyor. Apple bu tür uygulamalardan iki kat kazanıyor: platform operatörü satılan abonelikler için komisyon alıyor ve App Store’daki reklamlardan para kazanıyor.
(lbe)
Haberin Sonu