Обозреватель Safari для iOS уязвим для фишинговых атак

Обозреватель Safari для iOS уязвим для фишинговых атак

Так считают немецкие исследователи в области безопасности. Уязвимость была обнаружена в системе безопасности обозревателя Safari для мобильных утройств. В случае ее успешной эксплуатации злоумышленники могут заполучить конфиденциальные данные пользователя.

Судя по описанию, исследователи обнаружили ошибку в исполнении некоторых сценариев JavaScript, что потенциально может позволить провести фишиновую атаку и стать причиной кражи персональных данных или перенаправить пользователя на снабженный вредоносными программами ресурс. По мнению специалистов, уязвимость заключается в неправильной обработке функции javascript window.open().

Для демонстрации исследователи создали поддельную станицу легитимного ресурса (в качестве примера была выбрана "www.apple.com") и разместили ее на другом сервере, а также разработали экспериментальный образец эксплойта. После некоторых манипуляций, набрав в адресной строке ссылку легитимного ресурса, мобильный обозреватель открыл в новом окне поддельную страницу сайта Apple, размещенную на другом сервере, но при этом сохранился адрес легитимной страницы. 

По мнению экспертов, данный дефект может быть использован злоумышленниками для получения конфиденциальных данных и пользователь даже не заподозрит подвоха, так как в адресной строке отображается оригинальная ссылка. Единственной возможностью отличить поддельный ресурс от легитимного - это неаккуратность в реализации страницы. Однако если нужная страница будет в точности скопирована, то успех для злоумышленников гарантирован.

Изъян в системе безопасности был обнаружен в последних версиях обозревателя Safari  5.1 для iPhone4, iPhone4S, iPad2 и iPad3, но вполне возможно, ошибка может быть и в других сборках.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Россиян массово обманывают с помощью виртуальных карт

Банк России предупреждает о росте мошенничества, связанного с использованием виртуальных или токенизированных карт для оплаты через смартфоны. Злоумышленники убеждают жертв привязать электронные кошельки к таким картам, перевести на них средства, а затем похищают деньги.

Как сообщили представители Банка России изданию «Известия», эта мошенническая схема получила широкое распространение за последние несколько месяцев.

Преступники используют карты, которые можно добавить через банковские приложения или сервисы оплаты, такие как Sber Pay или Mir Pay.

Существование схемы подтвердили также крупнейшие банки. Сергей Лапихин, начальник управления банковской безопасности ОТП Банка, рассказал, что мошенники часто звонят, представляясь сотрудниками правоохранительных органов или регуляторов.

В рамках стандартного сценария они убеждают жертву перевести средства, включая кредитные, на «безопасные счета». При этом злоумышленники требуют установить приложение Mir Pay и привязать к нему карту.

«Жертву направляют к банкомату любого банка, поддерживающего бесконтактное обслуживание (таких большинство в России). Затем ее просят приложить телефон с включенной функцией NFC (Near Field Communication), ввести ПИН-код, продиктованный мошенником, и пополнить привязанную в Mir Pay карту наличными. В финале злоумышленники заставляют удалить карту из приложения, хотя сами сохраняют к ней доступ», — описал этапы мошенничества Сергей Лапихин.

Чтобы противодействовать этой схеме, Банк России предлагает ужесточить требования к внесению наличных на токенизированные карты при суммах, превышающих 50 тысяч рублей.

В таком случае деньги будут зачисляться на счет только через 48 часов. Подобные меры уже предусмотрены в законопроекте о «периоде охлаждения» для кредитов, который Госдума может рассмотреть 15 января.

Кроме того, Национальная система платежных карт (НСПК) заявила «Известиям», что в ближайшее время будет запущен сервис, позволяющий банкам ограничивать операции по внесению наличных на токенизированные карты, если они были выпущены менее двух дней назад.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru