Apple AirTag – троян в физическом проявлении

Эксперт кибербезопасности Бобби Роч нашел интересный баг в смарт-метках Apple AirTag. Уязвимость позволяет отправить пользователя на фишинговую страницу, созданную злоумышленником.

Для тех, кто не знает, метки AirTag были представлены компанией Apple в апреле этого года. Маленькое устройство можно повесить как брелок на любую вещь и в случае пропажи легко найти её. Также у метки есть функция оповещения о находке, так называемый Lost Mode. С его помощью любой нашедший может отсканировать метку с любого устройства на iOS или Android и уведомить потерявшего.

Именно эта функция и скрывает в себе уязвимость. Дело в том, что в Lost Mode пользователь самостоятельно вводит свой контакт для связи, что нашедший мог ему позвонить. Но функции позволяет не ограничиваться номером и ввести совершенно любой адрес.

Таким образом, мошенники могут вшивать в устройство адрес фишинговой страницы и физически направлять пользователей на них. Содержание таких страниц может быть совершенно любым, но цель одна – получить персональную информацию жертвы.

Исследователь назвал уязвимость физическим трояном.