Acesse o melhor conteúdo do seu dia, o único que você precisa.
Pesquisador diz que alertou a Apple sobre o problema ainda em janeiro (Getty Images)
Da Redação
Publicado em 11 de junho de 2015 às 17h28.
São Paulo - Uma aparente vulnerabilidade no app de e-mails do iOS pode deixar as senhas de diversos usuários em risco. Descoberta pelo pesquisador Jan Soucek, a brecha permite que potenciais criminosos roubem as combinações de segurança das contas com uma mensagem maliciosa, que, no exemplo montado, é capaz de criar um pop-up falso no sistema.
A janela que aparece no alto da tela de iPhones e iPads é similar à usada pela própria Apple para pedir as credenciais dos usuários. No caso do golpe, ela aparece assim que um e-mail com a tag meta http-equiv=refresh é recebido.
Como Soucek descobriu, ainda em janeiro deste ano, o código não é ignorado pelo ap – e é justamente esse bug que permite o carregamento de conteúdos remotos em HTML na mensagem.
O JavaScript é desabilitado nessa UIWebView, mas é possível montar um ‘coletor’ funcional de senhas usando HTML e CSS simples, escreveu o pesquisador no GitHub.
O coletor a que ele se refere é na verdade o pop-up mostrado logo que o e-mail é recebido no aparelho do usuário. A janelinha com o campo para senhas é programada para enviar os dados ao servidor e ainda enviar outra mensagem automaticamente, agradecendo.
Na página em que hospeda a prova de conceito da falha, Soucek também diz que alertou a Apple sobre o problema ainda em janeiro. O aviso, no entanto, foi arquivado, e a correção não foi entregue em nenhum dos updates do iOS liberados após o 8.1.2.
Dá para ver como o sistema funciona no vídeo abaixo, que já está quase nas 30 mil visualizações:
:format(webp))
:format(webp))
:format(webp))
:format(webp))
:format(webp))
:format(webp))
:format(webp))
:format(webp))
:format(webp))