Finto sito Apple lancia attacco zero-click sfruttando hype iPhone Duo
Un falso sito Apple promette un buono da 500 dollari, ma sfrutta vulnerabilità iOS per rubare dati da dispositivi non aggiornati.
Un nuovo attacco informatico prende di mira gli utenti iPhone sfruttando l'attesa per il lancio dell'iPhone Duo. Un sito web falso, scoperto da Malwarebytes, replica fedelmente l'aspetto del portale ufficiale Apple e promette un inesistente voucher da 500 dollari per la pre-ordinazione del dispositivo.
Dietro la facciata, il sito lancia silenziosamente un zero-click attack progettato per violare iPhone con versioni di iOS non aggiornate, senza che l'utente debba compiere alcuna azione. L'attacco utilizza una catena di exploit nota come DarkSword, che agisce tramite Safari al caricamento della pagina. Nel caso la vulnerabilità venga sfruttata con successo, il payload nascosto può estrarre password dal keychain, contenuti di Note, registri chiamate, contatti, foto e persino dati di portafogli crypto da applicazioni come MetaMask e Coinbase Wallet.
La campagna fa leva sulla psicologia dei consumatori, puntando su chi utilizza ancora dispositivi senza le ultime patch di sicurezza. Apple ha già corretto le vulnerabilità coinvolte, ma chi non aggiorna i propri dispositivi rimane a rischio.
Per mitigare queste minacce è essenziale mantenere iOS aggiornato e accedere sempre ai siti ufficiali Apple tramite canali diretti. In caso di accesso accidentale al sito malevolo, si consiglia il riavvio del dispositivo, l'aggiornamento del sistema e la verifica della sicurezza degli account principali.
