Помилка iOS 11 дозволяє QR -кодам змусити вас відвідувати шкідливі веб -сайти

Дослідники безпеки виявили ще одну помилку в iOS 11, яка залишає користувачів уразливими до шкідливих атак.

Ваду у вбудованому зчитувачі QR-кодів можна використати, щоб змусити людей відвідувати шкідливі веб-сайти, які спочатку маскуються як невинні.

Якщо ви використовуєте iOS 11 - переважна більшість користувачів iPhone та iPad тепер оновлено до - тоді ти зможеш наведіть камеру на QR -коди, щоб їх прочитати. Вбудований додаток Камера від Apple тепер автоматично розпізнає код, перш ніж запитати, чи хочете ви його відкрити.

Помилка QR -коду iOS 11

Це зручний інструмент, який заперечує потребу у сторонньому зчитувачі QR-кодів, але йому потрібна робота. Дослідники з InfoSec виявили недолік у спосіб, за допомогою якого читач аналізує URL -адреси, які можна використати для переходу користувачів до шкідливих веб -сайтів.

Вбудовуючи URL -адреси у певному форматі, зловмисник може змусити iOS показати користувачам один веб -сайт, а потім перевести їх на інший. Наприклад, наведений нижче QR -код змусить iOS запитати вас, чи хочете ви відвідати Facebook, але коли ви його відкриєте, він перейде на веб -сайт InfoSec.

Легко уявити, як зловмисники можуть скористатися цим.

QR -код може бути вбудований у фішинговий електронний лист, який обіцяє спеціальні пропозиції або халяву під час сканування коду. Тоді користувачів можна буде перевести на шкідливий веб -сайт, який має виглядати справжнім, де їх обманом передають конфіденційну інформацію.

Як обманюють iOS

Щоб використати недолік, зловмисникам просто потрібно вставити URL -адресу в код, використовуючи такий формат, як « https://xxx\@facebook.com: [email protected]/. "

У цьому випадку iOS бачить веб -сайт як “facebook.com” - і це все, що він показує користувачеві. Але коли URL-адреса завантажується в Safari, це фактично призводить до "infosec.rm-it.de".

InfoSec каже, що повідомив про помилку Apple ще в грудні, але компанія ще не надає виправлення. Поки проблема не буде усунена, ми рекомендуємо вам двічі перевірити URL-адреси в адресному рядку Safari, щоб підтвердити їх справжність після сканування QR-коду.