记一次家人 Apple ID 支付方式被盗刷的事件

228 天前
 CharTyr

今早我爹发现微信支付的账单内,有四笔发生在凌晨的来自 Apple 的扣款,每笔 999.99 ,一共 4000 元,确认为盗刷情况。 随后便致电了 400-666-8800 的 Apple 客服,客服请求使用 facetime 进行指导,以提供相关信息,在获取到商户单号等信息之后客服承诺三个工作日内将钱款返回。 中午我爹告诉我客服使用 facetime 的情况,因为最近运营商发送的关于使用 facetime 诈骗的提醒,我担心这其中的安全隐患,就重新在 Apple support app 中请求了人工服务,并了解到了今早的电话客服是正确的,并且钱款追回也在进行中,确认了 Apple 客服使用 facetime 进行指导的情况存在。 盗刷的过程推测是,因为我妹与我爹是有一个家庭组的,用于管理我妹的儿童账户相关的限制操作。而对方则是盗用了我爹地账号后,更改了 AppleID 的绑定邮箱,并且邀请了一个陌生账号进入家庭组,通过这个陌生账号使用了家庭组的支付方式进行盗刷操作。 现在是正在等待钱款返回,另外是不知道 Apple ID 是如何泄露且对方是如何通过两步验证的。

2391 次点击
所在节点    Apple
18 条回复
czfy
228 天前
https://www.v2ex.com/t/959041

当时的情况是
“对方在 App 内置了一个 Webview ,然后访问 appleid.apple.com/sign-in ,这一步系统会出现 Apple ID 的弹窗,如果人脸识别通过了或者输入了正确的密码,这个页面就登录了(可以理解为在内置的 safafi 打开了 Apple ID 的登录页面)。

接下来会出现密码弹窗,受害者输入密码之后,这个 Webview 可以注入一些 js 获取到 Cookie ,然后访问 appleid.apple.com/account/manage ,通过一些自动接收验证码的机制,配合 Cookie 和密码,就可以在受害者 Apple ID 的信任号码中加入他自己的号码,用来接收双重认证的短信。”
dyc12389
228 天前
难道这个 webview 拉起 sso 登陆的问题,苹果就一直放着没管?
CharTyr
228 天前
@czfy 感谢,之后我会查看一下家人手机是否有相同的情况
joeyzhou
228 天前
家庭组满 6 个人就不怕了
CharTyr
228 天前
@joeyzhou 笑死
liuleisail
228 天前
家里老头不知道自己的 apple id ,我都是让他录入指纹,老太太直接是面容。这样就安全了很多
CharTyr
228 天前
@liuleisail 我爹是知道自己的 AppleID 这些的,估计是因为平时不注意下载了一些钓鱼 app 导致泄露了
hiapk
228 天前
@CharTyr app store 上的钓鱼 app 可以丢出来举报,投诉 Apple 的
asdsjw
228 天前
@czfy 现在的盗刷哪里还需要有这么技术含量东西?,直接 wx 或 a 反响绑定(扫描二维码确认密码)就行了
其实整个过程是知道骗局的,只能说人心复杂的
很多人是明知道有问题只是想着人家盗刷不会这么快,哪知道立马没了
asdsjw
228 天前
1. 尤其是家里人,需要告知的就是不要随便扫描人家二维码支付
2. 不要脱离平台上交易,就是脱离平台支付款项
3. 很多人会发钓鱼短信,让用户点链接,用 wx 或 a 进行反向绑定
asdsjw
228 天前
还有账户密码其实有很多诈🌲,利用人心落点让人输入账户密码的,比如购买低价 vip
更多不是用什么技术来骗,这个才是防不胜防的
asdsjw
228 天前
现在这个诈骗链条完善的,楼主说的附言那条,其实就是低价充值各类 vip ,充值的人很多人被骗的
楼主说的还回来的人居然没被骗 也是小概率事情了
asdsjw
228 天前
而且我认为,这个所谓还钱回来的人,很有可能是操作这个事情的人,可能是第一次做这个事胆子小,所以才还钱回来
因为这种找人代充,是不可能知道具体 apple id
他是一种反向绑定操作
CharTyr
227 天前
@asdsjw 暂时也不清楚这个人是怎样找回来的,只能推测是从所谓代充得手里给的 appleid 里找到电话加上得,不过目前至少钱是回来了= =
CharTyr
227 天前
@hiapk 像二楼提出的那种钓鱼方式,如果一直还有这样的 app 在 AppStore ,再怎么说也是 AppStore 审核的问题了
asdsjw
227 天前
@CharTyr 这种属于少数,目前大部分就是我说的那种,不需要技术
另外代充本身就是骗局,你去小红书多看一下就知道了
等于是各个链条上都是计中计
asdsjw
227 天前
而且我还还留意到很多都 apple id 都是直接给人家的,人家用的诈术
现实就是不需要懂任何技术
asdsjw
227 天前
漏洞不光发生在 apple 那头,就是大家都有漏洞,所以。。。😮‍💨

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/1030256

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX