Bir güvenlik araştırmacısı, iPhone kullanıcılarını bankacılık uygulamalarına güncelleme yapıldığı iddiasıyla kandırarak sahte güncellemeler yüklemeye teşvik eden bir phishing saldırısını ortaya çıkardı. Bu saldırı, iOS korumalarına rağmen başarılı olabiliyor çünkü aslında yüklenen şey, herhangi bir App Store onayı veya uyarısı gerektirmeyen bir ilerici web uygulaması (PWA). İşte konu hakkındaki en önemli detaylar…
iPhone cihazlar, bu kez sahte bankacılık uygulamaları ile gündeme oturdu
İlerici web uygulamaları, temelde uygulamalar gibi görünen ve davranan web siteleridir. Gerçekten de, iPhone ilk çıktığında yani 2007’de, PWA’lar üçüncü taraf geliştiricilerin bir uygulama başlatması için tek yoldu.
Apple’ın kurucularından Steve Jobs bu konuda şunları söylemişti:
“iPhone’da tam Safari motoru var. Bu nedenle, iPhone’da tam olarak uygulama gibi görünen ve davranan harika Web 2.0 ve Ajax uygulamaları yazabilirsiniz. Bu uygulamalar iPhone servisleriyle mükemmel bir şekilde entegre olabilir. Telefon araması yapabilir, e-posta gönderebilir ve Google Haritalar’da bir konumu arayabilirsiniz.“
Apple, kısa süre içinde yerel iPhone uygulamalarının daha iyi bir deneyim sunduğunu fark etti ve bir yıl sonra App Store doğdu, ancak bugün hala PWA’ları kullanabilirsiniz.
Siber güvenlik şirketi ESET, hem Android hem de iPhone kullanıcılarını hedef almak için PWA’ların kullanıldığını keşfetti. Saldırılar, metin mesajları, sosyal medyada reklamlar ve sesli aramalar gibi çeşitli yöntemlerle gerçekleştiriliyor. Sesli arama teslimatı, kullanıcıyı güncel olmayan bir bankacılık uygulaması hakkında uyararak ve kullanıcıdan sayısal klavye üzerinde bir seçenek seçmesini isteyerek yapılır. Doğru düğmeye basıldıktan sonra, bir phishing URL’si SMS ile gönderilir.
Gelecek ay üretimi sonlanacak 10 Apple ürünü! Hoşçakal iPhone 14 Plus
iOS’u hedef alan phishing siteleri, kurbanlara ilerici bir web uygulamasını (PWA) ana ekranlarına eklemeleri talimatını verirken, Android’de PWA, tarayıcıdaki özel açılır pencereleri onayladıktan sonra yüklenir. Bu noktada, her iki işletim sisteminde de bu phishing uygulamaları, taklit ettikleri gerçek bankacılık uygulamalarından ayırt edilemez hale gelir. Kullanıcı sahte uygulamaya giriş yaptığında ise, giriş bilgilerini yakalar ve saldırgana gönderir. iPhone sahipleri özellikle risk altında olabilir çünkü birçok kişi cihazlarının kötü amaçlı yazılımlardan korunduğunu varsayar.
iOS kullanıcıları için, sahte PWA’yı ana ekranlarına nasıl ekleyeceklerine dair talimat veren animasyonlu bir açılır pencere bulunur. Açılır pencere, yerel iOS uyarılarına benzeyen bir görünüm kopyalar. Sonuçta, iOS kullanıcıları bile potansiyel olarak zararlı bir uygulamanın telefonlarına eklenmesi konusunda uyarılmamaktadır.
Kendinizi Nasıl Korursunuz
Bankanızdan gelen herhangi bir iletişimi – ister metin, e-posta, ister sesli arama olsun – her zaman şüpheyle karşılayın. En güvenli yaklaşım, aramayı sonlandırmak ve bankanızla bilinen gerçek bir numaradan (örneğin, banka ekstresinde veya ödeme kartınızda yazılı olan numara) iletişime geçerek verilen bilgileri doğrulamaktır. Gerçek bir bankacılık uygulaması güncellemesi, App Store üzerinden edinilebilir.
