Vulnerabilidade no iOS deixa hackers roubarem dados de contas

Pesquisadores da empresa de segurança Trend Micro demonstraram um novo ataque voltado para iPhones e iPads que permite o roubo de informações sensíveis presentes em aplicativos. A brecha existe na exploração de implementação de esquemas de URL, algo muito usado por desenvolvedores iOS.

O funcionamento do iOS é claro: aplicativos rodam em um sandbox próprio e dedicado, o que aumenta a segurança do usuário. Contudo, aplicações podem conversar entre si por meio de alguns métodos para compartilhamento limitado de dados — e a brecha é explorada nesses métodos.

A Trend Micro pediu para que desenvolvedores iOS façam uma rechecagem em seus apps

O esquema de URL (Deep Linking) é o que permite a inicialização de aplicativos por meio de URLs. Entre elas, estão “facetime://”, “fb-messenger://” e “whatsapp://”. Um exemplo resumido: quando você entre em um ecommerce, existe o botão “Entre com Facebook” para você fazer o login; para a autenticação acontecer, dados são trocados entre aplicativos (no caso, Safari e Facebook).

“Um esquema de URL é a parte de um link que especificar o tipo de aplicativo que o dispositivo usa para abrir um URL. Muitos apps são compatíveis com esquemas de URL: o FaceTime usa esquemas de URL para fazer ligações quando um URL que começa com facetime:// é aberto, da mesma forma que o Safari gerencia URLs que começam com http://”, explica a Apple.

A falha

Segundo os pesquisadores, a Apple não define qual aplicativo pode usar essas palavras-chave para um esquema de URL. Isso significa que vários apps dentro de um iPhone pode usar um esquema único de URL, que “vazaria” dados sensíveis para estes aplicativos diferentes.

• Veja um infográfico montado explicando a falha:

Esquema de URL sendo usado

Resumidamente, um aplicativo malicioso instalado no iPhone com o mesmo esquema de URL de um aplicativo legítimo que seja alvo, pode enganar outros apps a enviarem dados sensíveis ou até apresentarem propagandas para lucro dos desenvolvedores.

A Trend Micro pediu para que desenvolvedores iOS façam uma rechecagem em seus apps e validem uma correção para solicitações não confiáveis. Já você, o usuário, deve sempre estar atento aos aplicativos e desenvolvedoras que entram no seu aparelho.