Как часто случается ситуация, когда пользователь открывает ссылку, присланную другом в Facebook, Google+ или Gmail, а затем занимается другими делами, не дождавшись ее полной загрузки? В масштабах планеты – как минимум нередко, а это серьезный повод задуматься о следующей проблеме.
When a user taps a telephone link in a webpage, iOS displays an alert asking if the user really wants to dial the phone number and initiates dialing if the user accepts. When a user opens a URL with the tel scheme in a native app, iOS does not display an alert and initiates dialing without further prompting the user.
Проблема заключается в том, что даже такие сервисы как Facebook Messanger, Google+ и Gmail (не говоря о более мелких компаниях) не сочли нужным добавить собственное уведомление для подтверждения действия при обработке ссылок “tel”. Впрочем, до этого момента все смотрится более-менее безобидно – вы кликаете по ссылке, переходите на страницу, которая, в свою очередь, содержит ссылку “tel”, и только после клика на нее начинается набор номера. Однако при помощи нехитрого Java-скрипта, автор публикации создал страницу с “самокликающейся” ссылкой, то есть, фактически реализовал прямой редирект – кликаете ссылку в сообщении и визуально ваш iPhone сразу же переходит к набору номера. Выглядит это следующим образом:
Насколько опасна такая уязвимость? В теории – весьма и весьма, при помощи платных номеров и объемной базы взломанных аккаунтов (которую в наше время приобрести вовсе несложно) злоумышленники смогли бы заработать миллионы долларов, получая прибыль с каждого зазевавшегося пользователя. Иное дело, что скрыть финансовые следы такой аферы в крупных масштабах довольно сложно, что, скорее всего, до сих пор и сдерживало любителей не совсем честного интернет-заработка.
Смотрите также:
- Apple и ФБР обеспокоены утечкой интимных снимков звезд.
- Уязвимость в браузере Chrome позволяет подслушивать разговоры пользователей.
- Adobe выпустила исправление критической уязвимости Flash Player для Windows и Mac.
- Уязвимость Siri в iOS 7.1.1 – блокировка экрана паролем перестала быть защитой личных данных.