家人的 Apple ID 开了双重认证，仍然被钓鱼，求大佬解惑，也顺便给大家提个醒

[airycanon]

时间线

7 月 12 晚上发生的事情，

• 23:33 ，丈母娘的手机突然被抹掉了资料，变成出厂设置的状态。
• 23:35 ，她拿手机找我给她看看，我以为是苹果系统问题，开始给她重新设置。
• 23:36 ，在设置的过程中，手机陆续收到了短信通知，我发现其中有银行、支付等字样。
• 23:37 ，开始意识到事情不太对，赶紧联系银行和微信支付冻结。
• 23:40 ，等到冻结完毕，已经产生了 20 多笔订单，共计 1.6w 。
• 23:50 ，报警之后，到社区派出所立案。
• 01:10 ，立案过程中，我在 Apple Store 的退款渠道提交了退款。

被盗经过

之前一直以为开了双重认证就高枕无忧，经过排查后，基本确定是被钓鱼了：

• 丈母娘曾经在某 App 购买虚拟商品，App Store 绑定了微信免密支付。

• 7 月 11 号下午，丈母娘在 Apple Store 上下载了一个叫 “菜谱大全” 的 App ，它的登录方式是 Apple ID 授权，这一步如果没有开启 iCloud+ 隐藏邮件地址的话，Apple ID 账号就会泄露，如图
  

• 接着，会出来一个跟 App Store 长得非常像的密码输入框，大家如果经常安装 App ，人脸识别失败的时候，就会有这个密码输入框，不熟悉 App Store 登录流程的话，很容易中招，如图
  

• 有了 Apple ID 的账号和密码，就可以登录了，这一步我跟丈母娘反复确认了，她没有见过双重认证的弹窗。

• 登录之后，他会把自己的号码，加入双重认证的信任号码中，目的是为了后续的登录可以通过自己认证，如图

• 到这一步，他已经掌握了受害者 Apple ID 的所有权限。

• 接下来，盗号者并不会直接用 Apple ID 下单支付，而是会创建一个家庭共享，加入另一个账号，由这个账号购买 App 中的虚拟商品，如图
  

疑问

整个钓鱼过程，我有一点不太理解，在开启了双重认证的情况下，除非我丈母娘主动输入验证码，否则即使对方拿到了 Apple ID 的账号密码，应该也无法登录才对，这里请大佬帮忙解惑。

尝试退款

我在 Apple 400 客服尝试了多种方式，最终都失败了:

• 在 reportaproblem.apple.com 页面申请退款，申请后联系客服告知被拒绝。
• 找负责 App Store 订单的客服，要求升级高级顾问，告知这是最终结果，升级也没有意义，被拒绝。
• 找负责 Apple ID 的客服，曲线救国，要求查询 Apple ID 被盗的问题，被告知查不到记录。
• 由负责 Apple ID 的高级顾问转到负责 App Store 订单的高级顾问，和该顾问扯皮了 2 小时，被拒绝。

目前还能尝试的方式：

• 打 12315 反馈
• 在工信部违法和不良信息举报中心投诉
• 起诉苹果

[airycanon]

@dearmymy 兄弟说得有道理，一开始这个密码弹窗，她也不记得，是我自己一点一点查到的。

[airycanon]

@swulling 看了下，这个 app 也没有读短信的功能。

[ZRS]

双重认证就是通过可信设备/渠道进行认证，你这设备用于在应用中登陆 apple id ，本身就是可信设备了，自然不需要其他设备或渠道进行认证。

[swulling]

@airycanon 那很可能是被诱导填了验证码。

受害者这种心理防御很正常。

[ZRS]

哦确实在攻击者登陆时的验证问题没得到合理解释，截图也应该是拿不到验证码弹窗的

[ZRS]

感觉还是被诱导进行了什么操作，比如共享屏幕操作实际是骗取验证短信等

[wdlth]

https://support.apple.com/zh-cn/guide/iphone/iphd709a3c46/ios
看官网的介绍有一种离线方式，在离线的受信任设备上获取验证码，会不会是预先用什么方式登录过 Mac 。

[forgottencoast]

AppLeID ，这是不是为了骗过审核？

[AppJun]

截屏应该是截不到系统弹窗的。不然这个漏洞太大了。

估计你输入正确的密码之后，有额外的诱导二次验证信息的登记入口。

[mineralsalt]

我手机上也有个 “菜谱大全” ， 应该不是你这个吧， 之前学做菜下载的

[Danswerme]

这能过苹果审核？

[delpo]

App"L"eID
请输入您的 ID 密码用于登"陆"

这是为了能过审还是因为根本没下功夫设计？

[terence4444]

可能是通过 iMessage forward 短消息拿到的？

[yinmin]

@airycanon 微信支付有“百万保障”，你可以试试申请理赔

[dingdangnao]

而且 家庭成员第一次在 App Store 消费是需要家庭管理员短信验证码的啊

[WuSiYu]

这种应用能进入 apple store 明显是苹果审核有很大的过失，往大了可以说影响到“苹果生态封闭所以安全”这个认知

[zdgan]

我觉得苹果好恶心，我的账号也拿不回来，还每年扣我 apple music 的钱，无论怎么申诉审核都不行，还一直弹窗要我输入账号密码，10 几年果粉从此弃坑。我自己的账号，我可以提供手机验证码，邮箱验证码，这还要审核两周，每次审核还不通过，我真服了

[laydown]

你丈母娘是不是还另外做了一些别的动作，但忘记了呢。

双重认证是挺傻的，但如果自己不提供验证码给对方，或者点批准登录设备，对方也无法做什么事情的。

[tin3w5]

上了岁数的人和不打技术的人都有一个共同段习惯——无论什么弹窗都会图省事，随便点一下，不行再点另一个。所以不排除她忘记了。
另外，不知道这个 app 有没有上非国区的 app store ，如果没上，不排除是国内开发者和国内审核人员的 py 交易。几年前在某私企工作的时候和 iOS 开发的兄弟混的很熟，听说当时只上架国区和上架全区的审核标准好像就不一样。

[job32]

盗号者在自己的 iphone 登录你丈母娘的 apple ID ，需要输入丈母娘手机上 apple ID 的验证码。没有授权是没办法登录的，知道账号和密码也没用。