هذه الثغرة بآيرتاغ تمكن القراصنة من سرقة حسابك الخاص في آبل
يقول باحث أمني إن "آيرتاغ" (AirTag) من "آبل" (Apple) تجعل من السهل تصيّد الأشخاص وسرقة حساباتهم، وذلك عبر ترك القراصنة لآيرتاغ، وعندما يبلغ مستخدم آيفون الذي عثر عليه عنه يتم اختراق حسابه، وفقا لتقرير في موقع "تومز غايد" (tomsguide).
وآيرتاغ هو جهاز تتبع تم تطويره بواسطة آبل، تم تصميمه ليكون بمثابة مكتشف مفاتيح، لمساعدة الأشخاص في العثور على الأشياء الشخصية (مثل المفاتيح والحقائب والملابس والأجهزة الإلكترونية الصغيرة والمركبات) عند فقدانها.
وتحدث بوبي راوخ، مستشار الأمن السيبراني في منطقة بوسطن، في مدونة لمراسل الأمن المستقل برايان كريبس عن كيفية حدوث هذا الاختراق.
في سلسلة من مقاطع "يوتيوب" (YouTube) أظهر راوخ كيف يمكنه استخدام برنامج جاهز لحقن نص غير مرئي في حقل رقم الهاتف الذي يملأه مالك آيرتاغ عند إبلاغ آبل عن آيرتاغ مفقود.
يقوم مستخدم آيفون الذي عثر على آيرتاغ مفقود بتوصيل جهاز آيفون الخاص به لاسلكيا، والذي بدوره سيجبر آيفون على فتح صفحة على "found.apple.com" خاصة بهذا الجهاز المفقود.
عادة، ستحتوي هذه الصفحة التي تم العثور عليها على معلومات حول الاتصال بالمالك الشرعي الضائع لآيرتاغ. ولكن في هذه الحالة، فإن النص المخفي سيعيد توجيه جهاز آيفون الخاص بالضحية سرا إلى صفحة تبدو مثل صفحة تسجيل دخول "آيكلاود" (iCloud)، ولكنها ستكون بالفعل صفحة تصيّد جاهزة لسرقة اسم مستخدم وكلمة مرور آبل الخاصين بالضحية.
وأبلغ راوخ كريبس أنه أخبر شركة آبل عن هذه الثغرة الأمنية في يونيو/حزيران الماضي، لكن الثغرة بقيت على آبل لمدة 3 أشهر بينما كانت الشركة تحقق. بعد مرور 3 أشهر -ينظر إليها عموما على أنها طويلة بما يكفي للباحث الأمني للانتظار قبل الكشف عن عيب غير مصحح- تواصل راوخ مع كريبس.
اتصل كريبس بشركة آبل للتعليق، وبعد فترة وجيزة أرسلت آبل رسالة بريد إلكتروني إلى راوخ وطلبت منه عدم مناقشة الثغرة الأمنية بشكل علني. من الواضح أن راوخ رفض، وأخبر كريبس أنه لم يحصل على جدول زمني بشأن موعد إصلاح الخطأ، وما إذا كان سينسب إليه الفضل في العثور عليه، أو ما إذا كان سيحصل على أي نوع من "مكافأة الأخطاء" على الإطلاق.
أخبر راوخ كريبس أن تصحيح هذه المشكلة يتضمن ببساطة حظر بعض الأحرف من حقول إدخال الصفحة التي تم العثور عليها.
قال راوخ "إنه شيء سهل الإصلاح.. بعد قولي هذا، أتخيل أنهم (آبل) ربما يريدون أيضا معرفة كيف تم إغفال ذلك في المقام الأول".
وقال موقع تومز غايد إنه تواصل مع آبل للتعليق، وسيقوم بتحديث هذه القصة عندما يتلقى ردا.
كيف تتجنب هذا النوع من الهجوم؟
لحماية نفسك من هذا النوع من الهجوم، كن على علم أنك لست بحاجة إلى تسجيل الدخول إلى آيكلاود أو حسابك الخاص في آبل للإبلاغ عن آيرتاغ تم العثور عليه.
يجب عليك أيضا تمكين المصادقة ذات العاملين (two factors authentication) لجعل تسجيل الدخول إلى حساب آبل الخاص بك أمرًا صعبًا بالنسبة للمهاجم الذي لا يمتلك أحد أجهزة آبل الخاصة بك، حتى لو كان هذا المهاجم لديه اسم مستخدم وكلمة مرور آبل الخاصين بك.
إذا كنت تعتقد أن معرف آبل الخاص بك قد تعرض للتصيد الاحتيالي أو تمت سرقته بطريقة أخرى، فغيّر كلمة مرور آبل على الفور.
