Велика вероятность, что многие думают: «Это же iPhone, значит, я в безопасности». Контроль Apple над своим устройством и экосистемой приложений действительно исторически был строгим, а подход «огороженного сада» предоставлял меньше возможностей для хакеров найти слабые места. Существуют также различные встроенные функции безопасности, такие как надежное шифрование и контейнеризация, последняя помогает предотвратить утечку данных и ограничить распространение вредоносного ПО. А входы на основе паролей и различные настройки конфиденциальности по умолчанию также помогают.
Тот факт, что приложения для iOS обычно загружаются из официального магазина Apple App Store и должны пройти строгие тесты, чтобы быть одобренными для размещения, избавил многих пользователей iPhone от некоторых проблем с безопасностью и конфиденциальностью на протяжении многих лет. С другой стороны, это не устраняет риски полностью, поскольку всевозможные повседневные мошеннические схемы и другие угрозы атакуют не только Android, но и в некоторой степени пользователей iOS. Хотя некоторые из них встречаются чаще других, все они требуют внимания.
Тем временем, новый антимонопольный закон ЕС, известный как Закон о цифровых рынках (DMA), направлен на создание равных условий, предлагая пользователям iOS возможность использовать сторонние магазины приложений. Этот знаковый шаг создает новые проблемы для Apple в плане защиты пользователей iOS от вреда, а также может иметь последствия для многих пользователей, поскольку им придется более внимательно относиться к скрывающимся угрозам безопасности. Есть все основания полагать, что злоумышленники попытаются использовать этот шаг в своих недобрых целях.
Для соблюдения DMA Apple должна разрешить:
- Разработчикам предлагать приложения для iOS пользователям через магазины, отличные от App Store. Это может увеличить вероятность загрузки пользователями вредоносных приложений. Даже легитимные приложения могут обновляться реже, чем официальные из App Store.
- Сторонние браузерные движки, которые могут предоставить новые возможности для атак, которых нет у движка WebKit от Apple (проверьте).
- Сторонним производителям устройств и разработчикам приложений доступ к различным функциям подключения iOS, таким как Wi-Fi связь точка-точка и сопряжение устройств. Технологический гигант утверждает, что это означает, что он может быть вынужден отправлять конфиденциальные пользовательские данные, включая уведомления с личными сообщениями, сведениями о сети Wi-Fi или одноразовыми кодами, этим разработчикам. Они теоретически могут использовать эту информацию для отслеживания пользователей, предупреждает компания.
Где еще скрываются угрозы для iOS
Хотя вышесказанное может «только» затронуть граждан ЕС, существуют и другие, возможно, более насущные проблемы для пользователей iOS по всему миру. К ним относятся:
Устройства с джейлбрейком
Если вы намеренно разблокируете свое устройство, чтобы разрешить, как называет это Apple, «несанкционированные модификации», это может нарушить ваше Лицензионное соглашение на программное обеспечение и отключить некоторые встроенные функции безопасности, такие как Secure Boot и Data Execution Prevention. Это также означает, что ваше устройство больше не будет получать автоматические обновления. А поскольку вы сможете загружать приложения не из App Store, вы будете подвержены вредоносному и/или глючному программному обеспечению.
Вредоносные приложения
Хотя Apple хорошо справляется с проверкой приложений, это не всегда получается на 100%. Среди вредоносных приложений, обнаруженных в App Store недавно, есть:
- Поддельная версия менеджера паролей LastPass, предназначенная для кражи учетных данных
- Вредоносное ПО для чтения скриншотов под названием «SparkCat», замаскированное под приложения для ИИ и доставки еды
- Поддельное приложение криптовалютного кошелька под названием «Rabby Wallet & Crypto Solution»
Загрузка приложений с веб-сайтов
Также следует опасаться загрузки приложений для iOS напрямую с веб-сайтов через поддерживаемые браузеры. Как подробно описано в последнем отчете ESET о угрозах, Progressive Web Apps (PWA) позволяют прямую установку без необходимости предоставления пользователями явных разрешений, что означает, что загрузки могут пройти незамеченными. ESET обнаружил, что эта техника использовалась для маскировки банковского вредоносного ПО под легитимные мобильные банковские приложения.
Фишинг/социальная инженерия
Фишинговые атаки через электронную почту, SMS (или iMessage) и даже голос — обычное явное явление. Они выдают себя за легитимные бренды и обманом заставляют вас передать учетные данные или нажать на вредоносные ссылки/открыть вложения, чтобы вызвать загрузку вредоносного ПО. Apple ID являются одними из самых ценных логинов, поскольку они могут предоставить доступ ко всем данным, хранящимся в вашей учетной записи iCloud, и/или позволить злоумышленникам совершать покупки в iTunes/App Store. Обратите внимание на:
- Поддельные всплывающие окна, которые утверждают, что ваше устройство имеет проблему с безопасностью
- Мошеннические телефонные звонки и звонки FaceTime, выдающие себя за службу поддержки Apple или партнерские организации
- Поддельные акции, предлагающие подарки и розыгрыши призов
- Спам с приглашениями в календаре, содержащий фишинговые ссылки
В одной очень сложной кампании злоумышленники использовали методы социальной инженерии, чтобы обманом заставить пользователей загрузить профиль управления мобильными устройствами (MDM), получив контроль над устройствами жертв. С его помощью они развернули вредоносное ПО GoldPickaxe, предназначенное для сбора данных биометрической аутентификации лица и использования их для обхода банковских входов.
Риски общедоступного Wi-Fi
Если вы подключаете свой iPhone к общедоступной точке доступа Wi-Fi, будьте осторожны. Это может быть поддельная точка доступа, созданная злоумышленниками, предназначенная для отслеживания веб-трафика и кражи конфиденциальной информации, которую вы вводите, например, паролей к банковским счетам. Даже если точка доступа легитимна, многие не шифруют данные при передаче, что означает, что хакеры с нужными инструментами могут просматривать сайты, которые вы посещаете, и учетные данные, которые вы вводите.
Вот где VPN пригодится, создавая зашифрованный туннель между вашим устройством и интернетом.
Воспользуйтесь контрольным списком безопасности iOS от ESET, чтобы узнать, насколько безопасен ваш iPhone.
Эксплуатация уязвимостей
Хотя Apple уделяет много времени и усилий обеспечению отсутствия уязвимостей в своем коде, ошибки иногда могут прокрасться в производство. Когда это происходит, хакеры могут воспользоваться этим, если пользователи не обновили свое устройство вовремя, например, отправив вредоносные ссылки в сообщениях, которые при нажатии запускают эксплойт.
- В прошлом году Apple была вынуждена исправить уязвимость, которая могла позволить злоумышленникам красть информацию с заблокированного устройства через голосовые команды Siri
- Иногда злоумышленники и сами коммерческие компании исследуют новые (zero day) уязвимости для эксплуатации. Хотя и редко и очень целенаправленно, атаки, использующие их, часто применяются для скрытой установки шпионского ПО для подслушивания устройств жертв
Оставайтесь в безопасности от угроз iOS
Может показаться, что для пользователей iOS повсюду подстерегает вредоносное ПО. Это может быть правдой, до определенной степени, но существует также множество способов минимизировать ваше воздействие угроз. Вот несколько основных тактик:
- Обновляйте iOS и все приложения. Это сократит окно возможностей для злоумышленников использовать уязвимости в старых версиях для достижения своих целей.
- Всегда используйте надежные, уникальные пароли для всех учетных записей, возможно, используя менеджер паролей ESET для iOS, и включите многофакторную аутентификацию, если она предлагается. Это легко на iPhone, так как потребуется простое сканирование Face ID. Это гарантирует, что даже если плохие парни завладеют вашими паролями, они не смогут получить доступ к вашим приложениям без вашего лица.
- Включите Face ID или Touch ID для доступа к вашему устройству, подкрепленный надежным паролем. Это обеспечит безопасность iPhone в случае потери или кражи.
- Не делайте джейлбрейк своего устройства по причинам, указанным выше. Это, скорее всего, сделает ваш iPhone менее безопасным.
- Будьте бдительны к фишингу. Это означает, что к нежелательным звонкам, текстовым сообщениям, электронным письмам и сообщениям в социальных сетях следует относиться с крайней осторожностью. Не нажимайте на ссылки и не открывайте вложения. Если вам действительно нужно это сделать, уточните у отправителя отдельно, является ли сообщение легитимным (т.е. не отвечая на данные, указанные в сообщении). Ищите явные признаки социальной инженерии, включая:
- Грамматические и орфографические ошибки
- Срочность действия
- Специальные предложения, подарки и слишком хорошие, чтобы быть правдой сделки
- Домены отправителя, которые не соответствуют предполагаемому отправителю
- Избегайте общедоступного Wi-Fi. Если вам приходится им пользоваться, постарайтесь использовать VPN. По крайней мере, не входите в какие-либо ценные учетные записи и не вводите конфиденциальную информацию, находясь в общедоступном Wi-Fi.
- Старайтесь использовать App Store для любых загрузок, чтобы минимизировать риск загрузки чего-то вредоносного или рискованного.
- Если вы считаете, что можете стать целью шпионского ПО (часто используемого репрессивными правительствами и режимами против журналистов, активистов и диссидентов), включите режим блокировки.
- Обращайте внимание на явные признаки заражения вредоносным ПО, которые могут включать:
- Медленная работа
- Нежелательные всплывающие окна с рекламой
- Перегрев
- Частые сбои устройства/приложений
- Появление новых приложений на главном экране
- Увеличенное использование данных
iPhone от Apple остается одним из самых безопасных устройств. Но это не панацея от всех угроз. Будьте бдительны. И будьте в безопасности.