苹果id怎么破解双重认证

苹果ID1个月前 (08-09)苹果id双重认证40

　　所谓的双重验证，英文简写为 2FA，是使用两种不同的元素，合并在一起，来确认用户的身份。例如使用网上银行时，不仅要输入密码，还要另外输入手机验证短信 PIN 码，确认之后才能使用转账等功能苹果id怎么破解双重认证。

　　双重验证是最近十多年来用于验证用户身份的一个主流方式，一般来说黑客可能盗走你的银行卡密码，但是它很难盗走你的手机卡，所以安全度还是很高的。

　　不过，有 V2EX 的老哥前天发帖表示，自己丈母娘的 iPhone 开启了双重认证，但还是被恶意 App 盗刷了一万六。

　　这位老哥表示，自己丈母娘曾经在某 App 购买虚拟商品，因此她的 App Store 绑定了微信免密支付。

　　在 7 月 12 日晚间，丈母娘的手机突然被抹掉了资料，变成出厂设置的状态，老哥以为是苹果系统问题，开始给她重新设置。但是在设置过程中，手机陆续收到了短信通知，发现一些短信有银行、支付等字样。

　　老哥反应很快啊，啪的一下就开始联系银行和微信冻结账户。然而就在短短十几分钟内， Apple Store 里就已经产生了二十多笔交易，银行卡被盗刷了一万六千元。

　　老哥经过排查后发现，前一天丈母娘下载了一个叫“菜谱大全”的 App ，它的登录方式是 Apple ID 授权，这一步如果没有开启 iCloud+ 隐藏邮件地址的话，Apple ID 账号邮箱就会泄露：

　　一般 iOS 设备安装 App 时如果出现人脸识别失败，就会弹出这个密码输入框，丈母娘也没多想，就把自己 Apple ID 的密码给输入进去了。

　　按道理讲，在开启了双重认证的情况下，除非丈母娘主动输入验证码，否则即便对方拿到了 Apple ID 的账号密码，应该也无法登录才对。但是对方在没有二次验证 PIN 码的情况下，依然能够登陆丈母娘的 Apple ID 并盗刷，完全突破的苹果的双重验证的限制。

　　但是呢，开发这个恶意 App 的黑产人员不仅登陆了丈母娘的 Apple ID，还给绑上了自己的手机号，目的就是为了后续的登录可以通过自己手机号认证和登陆：

　　到了这个时候，双重认证实际就已经失效了，黑产人员可以用自己的手机号来接收短信和登陆账号，完全掌握了这个 Apple ID 了。

　　不过黑产人员并不会直接用 Apple ID 下单支付，而是会创建一个家庭共享，加入另一个小号，由这个小号购买 App 中的虚拟商品，然后让丈母娘的账号付款，丈母娘账号就成了“提款机”，从而实现盗刷。

　　虽然这位老哥已经报警了，不过老哥和苹果官方客服的 Battle 暂时还处于失利阶段，苹果客服拒绝退款：

　　这位老哥把自己丈母娘的经历放到了 V2EX 上，一群程序员一边高呼“这不可能啊”一边开始研究这个 App，最后还是被多位大佬发现了恶意 App 的秘密套路。

　　正常的 iOS 密码验证弹窗，应该是“Apple ID”，而这个弹窗是“AppLeID”，明显是伪造的。

　　经过其他程序员老哥的核实，这个是恶意软件内置的 WebView 控件，这个隐藏的控件有两个作用，一个是伪装成 Apple ID 的密码验证界面，诱导受骗者输入自己 Apple ID 的密码；另一个作用就是拉起苹果官方的 Apple ID 设置页面，通过人脸识别 + 密码，把黑产人员的手机号添加进受骗者的 Apple ID 之中。

　　而这套操作的关键点，就是利用苹果 iOS 里的一个“逻辑漏洞”：当前手机如果是 Apple ID 此前验证过的可信设备，那么就不需要输入二次验证的 PIN 码，人脸识别验证一下就可以拿到最高权限了。

　　而这个 WebView 控件可能也具备某种遮盖功能，把苹果人脸识别的动画给挡住了，而被骗的丈母娘此时正盯着屏幕，人脸识别就在她不知情的状态下完成了。

　　有网友复现了恶意 App 的操作，发现在苹果的身份验证页面，登陆后扫完面容，没有双重验证就登陆了。