家人的 Apple ID 开了双重认证，仍然被钓鱼，求大佬解惑，也顺便给大家提个醒

[airycanon]

时间线

7 月 12 晚上发生的事情，

• 23:33 ，丈母娘的手机突然被抹掉了资料，变成出厂设置的状态。
• 23:35 ，她拿手机找我给她看看，我以为是苹果系统问题，开始给她重新设置。
• 23:36 ，在设置的过程中，手机陆续收到了短信通知，我发现其中有银行、支付等字样。
• 23:37 ，开始意识到事情不太对，赶紧联系银行和微信支付冻结。
• 23:40 ，等到冻结完毕，已经产生了 20 多笔订单，共计 1.6w 。
• 23:50 ，报警之后，到社区派出所立案。
• 01:10 ，立案过程中，我在 Apple Store 的退款渠道提交了退款。

被盗经过

之前一直以为开了双重认证就高枕无忧，经过排查后，基本确定是被钓鱼了：

• 丈母娘曾经在某 App 购买虚拟商品，App Store 绑定了微信免密支付。

• 7 月 11 号下午，丈母娘在 Apple Store 上下载了一个叫 “菜谱大全” 的 App ，它的登录方式是 Apple ID 授权，这一步如果没有开启 iCloud+ 隐藏邮件地址的话，Apple ID 账号就会泄露，如图
  

• 接着，会出来一个跟 App Store 长得非常像的密码输入框，大家如果经常安装 App ，人脸识别失败的时候，就会有这个密码输入框，不熟悉 App Store 登录流程的话，很容易中招，如图
  

• 有了 Apple ID 的账号和密码，就可以登录了，这一步我跟丈母娘反复确认了，她没有见过双重认证的弹窗。

• 登录之后，他会把自己的号码，加入双重认证的信任号码中，目的是为了后续的登录可以通过自己认证，如图

• 到这一步，他已经掌握了受害者 Apple ID 的所有权限。

• 接下来，盗号者并不会直接用 Apple ID 下单支付，而是会创建一个家庭共享，加入另一个账号，由这个账号购买 App 中的虚拟商品，如图
  

疑问

整个钓鱼过程，我有一点不太理解，在开启了双重认证的情况下，除非我丈母娘主动输入验证码，否则即使对方拿到了 Apple ID 的账号密码，应该也无法登录才对，这里请大佬帮忙解惑。

尝试退款

我在 Apple 400 客服尝试了多种方式，最终都失败了:

• 在 reportaproblem.apple.com 页面申请退款，申请后联系客服告知被拒绝。
• 找负责 App Store 订单的客服，要求升级高级顾问，告知这是最终结果，升级也没有意义，被拒绝。
• 找负责 Apple ID 的客服，曲线救国，要求查询 Apple ID 被盗的问题，被告知查不到记录。
• 由负责 Apple ID 的高级顾问转到负责 App Store 订单的高级顾问，和该顾问扯皮了 2 小时，被拒绝。

目前还能尝试的方式：

• 打 12315 反馈
• 在工信部违法和不良信息举报中心投诉
• 起诉苹果

[unafraid7580]

闻所未闻，骗子手段咋这么高明

[jaTomn]

蹲一波后续

[xinh]

添加双重验证号码过程是怎么样的呢

[yyzh]

这都能躲过审核的么

[shinsekai]

不需要丈母娘输入验证码。双重认证的弹窗中应该已经包含验证码。如果此时 app 进行自动截屏，识别，在后台登录成功后验证码弹窗会自动关闭。

[tediorelee]

这手段厉害

[smlcgx]

是不是骗子添加了其他设备用于验证码显示？

[qzydustin]

如果事情真是这样，AppStore 有很大漏洞，应该需要苹果负责

[airycanon]

@shinsekai 没想到还有这种方法，如果是这样的话，这个 APP 是不是需要屏幕录制的权限，我查看了它的权限，并没有这一项。

[airycanon]

@xinh 这个应该是 Apple ID 登录之后的事情了，已经登录的话，可以做任何操作。

[airycanon]

@smlcgx 据我分析一开始是没有的，登录上之后才加的其他设备。

[bobryjosin]

有可能就是主动给验证码了至于方法就不知道了，可能是短信不一定是双重验证弹窗，iPhone 正常在 apple id 添加添加验证号码会需要输入 iPhone 的锁屏密码，但是网页不需要，给了密码和验证码可以直接改，不过我绑定的是物理安全密钥，两把都在我这边，其他地方登陆只能拿物理密钥 2fa 才行，这样的话盗取难度就大了吧。

[airycanon]

@bobryjosin 大佬的意思是，在网页端，只要有账号密码，就能添加信任号码么，但是按我的理解，即使有账号密码，也是要登录的，登录就会触发双重认证。

[airycanon]

@bobryjosin 不好意思，理解有误，忽略我的问题。

[HUZHUANGZHUANG]

我也觉得苹果退款很恶心.貌似就第一次给退,后续就会直接拒绝

[dearmymy]

@shinsekai app 应该没有截图全屏权限吧。弹出得双重按钮不属于 app ，属于系统进程。

[dearmymy]

“有了 Apple ID 的账号和密码，就可以登录了，这一步我跟丈母娘反复确认了，她没有见过双重认证的弹窗。”
现在主要这一步。
我个人感觉是老年人一时糊涂被 app 诱导输入了验证码。她现在脑子自我保护意识，让她认为她没输入。
开了双重，任何其他新设备登录肯定会触发双重得。
还有种可能，只有账户密码看看能不能单独登录 icloud 邮箱。你看看你 icloud 邮箱有没有什么特殊邮件。
在有你说下但是设备 ios 得版本。

[dearmymy]

@HUZHUANGZHUANG 国内退款当年 一个小工作室一年能赚上亿，你敢信。。苹果正常售后应被国人搞成这样

[zhouweiluan]

这钓鱼 App 能被上架到 App Store... Apple 重大责任

[swulling]

双重认证可以选择发短信，如果具备短信读取权限的话是没问题的。