7月25日消息,有网友爆料称,自己丈母娘的iPhone手机开启了Apple ID双重验证,但仍然被钓鱼盗刷。

该网友称,事发7月12日晚,当晚23点,丈母娘的iPhone突然被抹掉资料,变成出厂设置状态,在设置过程中,手机陆续收到银行短信。

赶紧联系银行和微信支付冻结,冻结完毕,已经产生了20多笔订单,共计1.6万元,赶紧报警。

苹果iPhone曝重大漏洞:Apple ID开启双重验证仍被盗刷

该网友分析,基本确定是遇到了钓鱼,丈母娘绑定了微信免密支付,7月11日下午,在App Store下载了一个名叫“菜谱大全”的APP,登录方式是Apple ID授权,它会弹出一个非常像的密码输入框,骗得Apple ID的密码。

让该网友诧异的是,全程居然没有弹出双重认证的弹窗。他找负责Apple ID的客服,要求查询Apple ID被盗的问题,被告知查不到记录。

苹果iPhone曝重大漏洞:Apple ID开启双重验证仍被盗刷

对此,BugOS技术组称这一漏洞确实存在:“我写了代码试验,真的不会弹窗”。

BugOS技术组还解释了绕过双重认证的原理:第三方应用里边,开发商可以打开一个你看不见的网页,比如在界面下层放一个名叫 WKWebView的控件,用其他图片啊按钮啊把这个控件挡住,你就看不到下边这个网页了对吧。这个控件可以访问任何网页,而且可以控制网页上的任何操作,以及获取网页上的各种信息。于是开发商用这个看不见的控件打开Apple ID设置网页,重点来了,如果你的手机是Apple ID的受信设备,打开网页时是不需要进行双重验证的,只需要扫个脸就可以顺利登录。

苹果iPhone曝重大漏洞:Apple ID开启双重验证仍被盗刷

有网友给出应对办法:

1、Apple ID不绑银行卡,只绑了支付宝,但每月免密支付有限额;

2、App Store 和 iCloud 登录的不是同一个 Apple ID;

3、iCloud没开查找,这玩意是双刃剑,虽说可以让你设备丢失时及时锁定,但反过来万一ID被盗(或者像图中这种被添加了受信任号码)对方也可以锁定和抹除你手中的设备。