Guai per Apple: AirTag a rischio phishing con la modalità “smarrito”

State in guardia! Ci sono possibili pericoli legati all’utilizzo della modalità “smarrito” degli AirTag.

La funzione “smarrito” degli AirTag consente di mettere in atto una truffa – MeteoWeek.com

L’AirTag ha smarrito la retta via

L’AirTag è un oggettino Apple niente male. E’ un piccolo GPS che funge da portachiavi e se attaccato ai nostri effetti personali (dispositivi, chiavi, zaino, giacca) ci permette di individuarne la posizione e ritrovare ciò che abbiamo perso con un indice di errore davvero molto basso. Utile anche se lasciato in macchina per ricordarci dove abbiamo parcheggiato.

Ma tutte le cose belle hanno anche un punto critico. La funzione “smarrito” del tracker di Apple infatti può essere sfruttata per truffe di phishing, secondo un report reso pubblico da KrebsOnSecurity.

Come funziona la modalità “smarrito”?

Una volta impostato l’AirTag in modalità smarrito, questo genera un URL su https://found.apple.com e consente al proprietario di inserire un numero di telefono o un indirizzo e-mail di contatto. Chiunque esegua la scansione dell’AirTag viene quindi indirizzato automaticamente all’URL con le informazioni di contatto del proprietario, senza alcun accesso necessario per visualizzare i dettagli forniti.

Sveliamo la truffa!

La procedura sopra descritta lascia libero accesso ai malintenzionati che possono iniettare codice arbitrario nel campo del numero di telefono: quindi chiunque esegue la scansione di un AirTag può essere reindirizzato a una pagina di accesso iCloud fasulla o a un altro sito dannoso.

LEGGI ANCHE: Apple come antifurto! Moto quasi rubata, se non fosse per l’AirTag

Se un utente non sa che non è necessario fornire informazioni personali per visualizzare i dettagli di un AirTag smarrito, potrebbe essere spinto a fornire il proprio login a o altri dettagli personali.

Grazie Bobby!

Per la scoperta della falla sulla sicurezza degli AirTag dobbiamo ringraziare Bobby Raunch che ha dichiarato come la vulnerabilità possa rendere pericolosi gli AirTag: “Non riesco a ricordare un altro caso in cui questi piccoli dispositivi di localizzazione di livello consumer a basso costo come questo potrebbero essere usati come armi”.

Questa scoperta non s’ha da divulgare!

Rauch si è mobilitato subito per informare Apple sul problema. Giovedì scorso l’azienda ha dichiarato che avrebbe risolto la vulnerabilità in un prossimo aggiornamento e ha richiesto espressamente al giovane di non parlarne in pubblico.

Ecco la dichiarazione ufficiale rilasciata da Bobby Rauch per KrebsOnSecurity:

“Ho detto ad Apple: Sono disposto a lavorare con voi se potete fornire alcuni dettagli su quando prevedete di rimediare a questo problema e se ci sarà un riconoscimento o un pagamento tramite bug bounty’. Gli dissi anche che avrei pubblicato i risultati dopo 90 giorni se non avessi ricevuto informazioni in merito. La loro risposta è stata fondamentalmente: “Apprezzeremmo se non facessi trapelare queste informazioni“.

Rauch ha deciso in estremis di condividere i dettagli del bug nonostante la raccomandazione di Apple, poiché l’azienda non ha dato informazioni su eventuali premi in denaro legati al programma bug bounty per chi scopre vulnerabilità di sicurezza potenzialmente pericolose.

Ci aspettiamo dunque che Apple rilasci il prima possibile un aggiornamento per porre rimedio a questo problema e che dia un giusto riconoscimento a chi aiuta a migliorare i servizi.

Anthony Fiani