Фитнес-приложения воруют деньги с помощью отпечатка пальца

Легким движением пальца

Сразу несколько приложений из App Store были замечены в денежном мошенничестве, при котором пользователь самостоятельно активировал денежную транзакцию с помощью сканера пальца Touch ID. Об этом «Газете.Ru» рассказали с пресс-службе ESET.

Опасные приложения назывались Fitness Balance и Calories Tracker и были призваны следить за физическим здоровьем пользователя — они рассчитывали индекс массы тела и ежедневное потребление калорий, а также напоминали вовремя употреблять воду. Несмотря на то, что их скачивание было бесплатным, использование этих приложений могло больно отразиться на кошельке пользователя, так как обе программы были созданы мошенниками.

Когда жертва впервые включала приложение, ей предлагалось воспользоваться сканером отпечатка, «чтобы получить персонализированный счетчик калорий и рекомендации по диете».

Как только пользователь прикладывает свой палец к сканеру, на экране на секунду появляется окошко, сообщающее об одобренной покупке на $100-120, после чего моментально исчезает.

Владелец смартфона может даже не понять, что произошло, но если к его аккаунту Apple привязана кредитная карта, то платеж проходит автоматически, так как он был одобрен с помощью Touch ID. Принцип работы мошенничества в своем твиттере опубликовал ИБ-эксперт Лукас Стефанко.

Если же пользователь отказывается прикладывать палец, появляется другое окошко с просьбой нажать на кнопку «Продолжить», чтобы начать использование приложения. После этого программа снова пытается вовлечь жертву провести незаконную транзакцию.

Как следует из интерфейса и функционала, приложения, вероятно, были созданы одним и и тем же разработчиком.

На текущий момент обе программы удалены из магазина AppStore после жалоб со стороны пользователей, однако приложения успели неплохо зарекомендовать себя — например, рейтинг Fitness Balance составляет 4,3 звездочки из пяти возможных. С помощью фейковых положительных отзывов и накрутки рейтинга мошенники пытаются замаскировать вредоносное приложение, чтобы заставить как можно больше пользователей его скачать.

Такая тактика оказалась успешной — по данным аналитической компании Sensor Tower, в ноябре 2018 года Fitness Balance удалось «заработать» около $10 тыс., а Calories Tracker — $60 тыс.

Как пояснил «Газете.Ru» специалист технического сопровождения продуктов ESET Russia Борис Соболев, создатели приложений намеренно нарушили гайдлайны [инструкции] в ходе разработки.

«Пользователя заставляют прикладывать палец под видом сбора информации, одновременно с этим открывая запрос на покупку через Apple Pay. Это очевидные признаки вредоносного поведения: подобные приложения не должны размещаться в официальном магазине AppStore. Думаю, что со своей стороны Apple могла бы ввести дополнительные процедуры проверки, чтобы огородить пользователей от мошенников, использующих подобные схемы», — заявил эксперт.

Чтобы обезопасить себя от подобных мошеннических схем,

специалисты по информационной безопасности советуют внимательно читать отзывы к приложениям, сосредоточившись на отрицательных — именно они наиболее точно отражают натуру программы.

Кроме того, рекомендуется усложнить процесс подтверждения оплаты со своего устройства, чтобы не допустить случайной покупки — такая функция есть на некоторых смартфонах. Так, например, на iPhone X можно подключить функцию, которая одобрит транзакцию только после двойного нажатия на боковую кнопку.

Обманули в магазине

Несмотря на то что App Store имеет репутацию более защищенного сервиса, нежели другие магазины приложений, злоумышленникам уже не в первый раз удается обмануть систему. В 2017 году было обнаружено большое количество приложений, вымогающих деньги за фейковые подписки. Так, например, приложение с функцией VPN взимало с жертвы $99 еженедельно, при этом не предоставляя никаких полезных услуг.

Это приложение зарабатывало по $80 тыс. в месяц, прежде чем его обнаружили и удалили из App Store.

Другое приложение, представляющее собой QR-сканер, предлагало пользователю подписать на бесплатный тестовый период пользования. Тем не менее, при согласии на условия бесплатной подписки, жертва автоматически соглашался на еженедельную оплату в $1, которая списывалась без его участия.

Несмотря на то, что такие программы не несут в себе прямой угрозы заражения, они тоже считаются мошенническими, так как обманным путем заставляют пользователя платить за услуги, которые ему не нужны. Выявить подобные приложения бывает сложнее, чем вирусы, а потому многие из них до сих пор доступны в официальных магазинах приложений.