L’app “Dov’è” è super conosciuta. Lo strumento di cui sono dotati i dispositivi Apple aiuta gli utenti a localizzare i propri dispositivi rubati o che vengono smarriti. Il sistema funziona grazie all’invio di segnali Bluetooth. Questi segnali sono rilevati dagli altri dispositivi presenti nelle vicinanze e successivamente inoltrati ai loro proprietari.
Ciò che non si sa invece è che l’applicazione può essere utilizzata in modo illecito da malintenzionati per entrare in possesso di informazioni personali degli utenti malcapitati. Segretamente “Dov’è” può essere utilizzata illecitamente. Dei cybercriminali possono, infatti, abusare della funzione di Apple. Come? La funziona trasmette la posizione del dispositivo, ma non solo. È prevista la possibilità di condividere anche dati sensibili del proprietario del dispositivo in questione. I ricercatori di Positive Security Fabian Bräunlein, nella primavera del 2021, hanno scoperto come questa possibilità possa essere utilizzata per scopi poco nobili.
L’app di Apple usata per rubare dati personali
La conferma è arrivata dal portale Heise che ha creato un dispositivo hardware di prova mettendo in questo modo in luce il pericolo che si cela dietro l’app di Apple.
I ricercatori hanno installato un Keylogger, ovvero un sistema in grado di registrare i tasti digitati dagli utenti, attraverso l’uso di un trasmettitore Bluetooth ESP32 tramite una tastiera USB, e in questo modo hanno dimostrato che, sfruttando il sistema di localizzazione intrinseco nell’app un malintenzionato da remoto può accedere a tutte le informazioni digitate sulla tastiera modificata.
Può sembrare assurdo, ma è possibile. Come? Attraverso l’inserimento di un dispositivo esterno, come appunto una tastiera USB, nella rete dell’app Apple “Dov’è”. Infatti, in questo modo i criminali possono trasferire dati tramite Bluetooth fruttando la rete stessa. I dati vengono fatti arrivare al computer che li raccoglie e il gioco è fatto. L’app presenta dunque una vulnerabilità che viene abilmente sfruttata da un sistema di attacco piuttosto ampio. Inoltre, il sistema è anche difficile da rilevare proprio perché si basa su un trasferimento dati tramite Bluetooth.
L’unica pecca di questo sistema di truffa contro gli utenti riguarda la velocità di trasmissione dei dati. Infatti, questo passaggio tra il dispositivo attaccato e il sistema ideato dai criminali può avvenire tra i 7 e i 26 secondi per carattere, dunque si parla di un processo piuttosto lento. Questo vuol dire che ci sono giorni in cui possono volerci anche giorni per riuscire a trasferire dati da un dispositivo all’altro. Ovviamente, dato che l’obiettivo dei criminali è quello di accedere ad informazioni private, poco importa il tempo entro cui si riesce a portare a termine la “missione” purchè questa vada effettivamente in porto.
Il vero problema consiste nel fatto che questi malintenzionati sono riusciti ad agire senza che gli utenti se ne siano accordi e questo rappresenta un effettivo e grande problema per Apple.