Взломанный Apple AirTag может украсть данные пользователя

Специалист по кибербезопасности Бобби Раух обнаружил уязвимость в поисковом трекере — она может навредить доброжелателю, который решил вернуть найденный Apple AirTag владельцу. Изначально функция Lost Mode задумывалась как полезная — но хакеры смогли изменить алгоритм её работы.

Активация «режима пропажи» позволяет человеку, нашедшему чужой AirTag, отсканировать трекер с помощью NFC и прочитать запрограммированное владельцем сообщение со ссылкой на его контактные данные. Такая возможность помогает вернуть потерянные предметы, если найти AirTag посредством приложения «Локатор» не удаётся.

По словам эксперта, на деле злоумышленники могут использовать эксплойт Stored XSS для перенаправления пользователя, переходящего по указанной ссылке, на фишинговый сайт. Это может помочь им украсть конфиденциальные данные с помощью кейлоггера.

Раух сообщил в Apple об уязвимости ещё 20 июня, и пообещал обнародовать информацию, если в течение 90 дней компания не предпримет никаких мер. Позднее Apple действительно связалась с ним — представители корпорации сообщили, что уязвимость будет устранена в очередном обновлении.