Les fenêtres pop-up sur votre iPhone ne sont pas toutes des pop-up officielles d’Apple ! Hier, le développeur Felix Krause a publié une preuve de concept pour une attaque d’hameçonnage dans laquelle il montre que les développeurs d’applications peuvent détourner des pop-ups afin de dérober l’identifiant Apple d’un utilisateur et son mot de passe. Pour en savoir plus sur les attaques d’hameçonnage, consultez notre glossaire des menaces.
Voyez-vous la différence entre ces deux pop-ups ?
Les utilisateurs d’iPhone et d’iPad sont déjà habitués à voir apparaître ces fenêtres pop-up d’Apple, qui leur demandent leurs identifiants de connexion sur iCloud ou lorsqu’ils souhaitent faire un achat. Ces pop-ups apparaissent également même si les utilisateurs ne se servent pas de l’App Store ou d’iTunes.
Grâce à UIAlertController (un élément qui définit les notifications qui apparaissent à l’écran), les développeurs sont en mesure de reproduire le design de ces notifications système pour vous demander vos identifiants. De nombreux utilisateurs iOS ne remarqueront pas les petites différences entre les deux pop-ups et renseigneront alors leurs identifiants de connexion.
Il est très facile d’afficher une boîte de dialogue qui ressemble à s’y méprendre à une pop-up du système, il n’y a ni code secret ni magie, il s’agit simplement des exemples fournis dans la documentation Apple, dont le texte a été modifié.
J’ai décidé de ne pas fournir le code de la pop-up en open source, mais sachez qu’il s’agit d’un code de moins de 30 lignes et que n’importe quel ingénieur iOS est en mesure de créer rapidement son propre code d’hameçonnage. — Felix Krause sur krausfx.com
Bien que certaines notifications système obligent le développeur à connaître l’identifiant Apple de chaque utilisateur, pour d’autres, ce n’est pas le cas.
La méthode d’hameçonnage décrite par M. Krause ne date pas d’hier. Apple vérifie toutes les applications publiées sur l’App Store pour ce genre de problème, mais ne peut les détecter tous. En outre, tous les utilisateurs iOS ne sont pas au courant de la possibilité de ce genre d’attaque d’hameçonnage sur leur iPhone ou iPad.
Vous pouvez vous protéger contre ce genre d’hameçonnage
Comme nous l’avons vu, soyez prudent quand vous voyez une fenêtre pop-up. Si une pop-up de ce genre apparaît lorsque vous utilisez une application, vous pouvez rapidement vérifier s’il s’agit d’une attaque d’hameçonnage ou non. Fermez l’application que vous utilisez. Si la pop-up disparaît, c’est que celle-ci est liée à l’application et il peut donc s’agir d’hameçonnage. Si la pop-up revient, ce doit être une pop-up système courante provenant d’Apple. Un autre moyen d’éviter ce genre de situation est d’ajouter vos identifiants de connexion uniquement dans les réglages de l’application.
Pour ajouter une couche de protection supplémentaire face à ces attaques, nous vous conseillons d’activer l’identification à deux facteurs. Lorsque cette option est activée, vous empêchez les pirates de se connecter à votre compte Apple à l’aide de votre identifiant. Dans le cadre de l’identification à deux facteurs, vous recevrez un code sur un appareil (vérifié) de votre choix. De cette manière, vous pouvez être sûr que personne ne touchera à votre compte Apple.
Si vous pensez que quelqu’un a accès à votre compte Apple, suivez ce guide. Avez-vous déjà reçu ce genre de pop-up frauduleuse ?
