家人的 Apple ID 开了双重认证，仍然被钓鱼，求大佬解惑，也顺便给大家提个醒

[airycanon]

时间线

7 月 12 晚上发生的事情，

• 23:33 ，丈母娘的手机突然被抹掉了资料，变成出厂设置的状态。
• 23:35 ，她拿手机找我给她看看，我以为是苹果系统问题，开始给她重新设置。
• 23:36 ，在设置的过程中，手机陆续收到了短信通知，我发现其中有银行、支付等字样。
• 23:37 ，开始意识到事情不太对，赶紧联系银行和微信支付冻结。
• 23:40 ，等到冻结完毕，已经产生了 20 多笔订单，共计 1.6w 。
• 23:50 ，报警之后，到社区派出所立案。
• 01:10 ，立案过程中，我在 Apple Store 的退款渠道提交了退款。

被盗经过

之前一直以为开了双重认证就高枕无忧，经过排查后，基本确定是被钓鱼了：

• 丈母娘曾经在某 App 购买虚拟商品，App Store 绑定了微信免密支付。

• 7 月 11 号下午，丈母娘在 Apple Store 上下载了一个叫 “菜谱大全” 的 App ，它的登录方式是 Apple ID 授权，这一步如果没有开启 iCloud+ 隐藏邮件地址的话，Apple ID 账号就会泄露，如图
  

• 接着，会出来一个跟 App Store 长得非常像的密码输入框，大家如果经常安装 App ，人脸识别失败的时候，就会有这个密码输入框，不熟悉 App Store 登录流程的话，很容易中招，如图
  

• 有了 Apple ID 的账号和密码，就可以登录了，这一步我跟丈母娘反复确认了，她没有见过双重认证的弹窗。

• 登录之后，他会把自己的号码，加入双重认证的信任号码中，目的是为了后续的登录可以通过自己认证，如图

• 到这一步，他已经掌握了受害者 Apple ID 的所有权限。

• 接下来，盗号者并不会直接用 Apple ID 下单支付，而是会创建一个家庭共享，加入另一个账号，由这个账号购买 App 中的虚拟商品，如图
  

疑问

整个钓鱼过程，我有一点不太理解，在开启了双重认证的情况下，除非我丈母娘主动输入验证码，否则即使对方拿到了 Apple ID 的账号密码，应该也无法登录才对，这里请大佬帮忙解惑。

尝试退款

我在 Apple 400 客服尝试了多种方式，最终都失败了:

• 在 reportaproblem.apple.com 页面申请退款，申请后联系客服告知被拒绝。
• 找负责 App Store 订单的客服，要求升级高级顾问，告知这是最终结果，升级也没有意义，被拒绝。
• 找负责 Apple ID 的客服，曲线救国，要求查询 Apple ID 被盗的问题，被告知查不到记录。
• 由负责 Apple ID 的高级顾问转到负责 App Store 订单的高级顾问，和该顾问扯皮了 2 小时，被拒绝。

目前还能尝试的方式：

• 打 12315 反馈
• 在工信部违法和不良信息举报中心投诉
• 起诉苹果

[TerryRobles]

验证码什么的应该也是钓鱼
第一个弹窗出现要求输入账号密码
然后同步进行登录
第二个弹窗出现要求输入验证码

[TerryRobles]

丈母娘曾经在某 App 购买虚拟商品，App Store 绑定了微信免密支付。

按照你的说法，不绑定个支付不行了。
ID 绑个信用卡吧，然后限制日限额

信用卡用你的，这样银行的短信也是发到你的手机上

[airycanon]

@TerryRobles 说得有道理，我没有拿真实的 Apple ID 测试，如果输对了密码，也许真的有弹窗。

[wulili]

AppLeID 。。。这钓鱼者细节没做到位呀。。
早些年没有双重验证的时候，这种钓鱼类型的弹窗非常容易中招

[cxxxxx]

@wydinhk 可能就是这个原因，我试了浏览器打开 appleid.apple.com 登录弹窗后直接点 “继续” 扫完面容后没有双重验证直接进去了。

[296727]

你丈母娘可能做了一些操作，然后没和你说，但是他没有骗你，因为他大脑中遗忘了这一部分

[voyagefar]

感谢分享

[miniliuke]

@zhongjun96 笑死了苹果审核 APP 的都是机器人？

[TAFMT]

涨知识了

[icepic]

这个就离谱了…

Apple ID 如果不绑定支付是不是好一点？

[fnyael]

这 app 多半也不是在 Apple Store 里下的

[bGl2aWRubXNs]

我靠 这完全 apple 的锅，这种弹窗都能过审？？？

[dididi9527]

涨见识了，这弹窗要是我也可能不小心输密码进去了，因为真苹果也老是闲着没事让你输密码，看来以后还是得先关注这个弹窗是不是真的才输。

另外通过苹果账号登录这是苹果后期强制 app 提供的登录方式，没想到反倒在这里变成泄露账号名的方式。

[Gadmin]

@AppJun 刚才试了，验证码可以截到

[airycanon]

@fnyael 我就是在 app store 里下载的，现在还是能下。

[AppJun]

@Gadmin Show me the code

[dier]

看了一下这个软件的评论，从 2 月份就有人说是一直要 AppleID 密码，这不得举报让他下架吗

[bugmakerxs]

防不胜防。。

[irainsoft]

这个算是比较难分别的钓鱼了，模仿苹果系统界面+要求用户输入 iCloud 密码，苹果居然能让这样的应用上架我觉得有责任的。

有一个问题是“他会把自己的号码，加入双重认证的信任号码中”这一步是 iOS 手机应用能靠自己权限完成的？

[tyhunter]

看起来好像骗子钓鱼拿到了账户密码，并且把小号加入了家庭共享里面，然后通过购买 app store 里的虚拟产品从而套现（苹果中间还会收 30%的抽成）
首先建议把这个软件的链接发出来大家一起举报了
其次是不是老年人手机上不绑支付方式或者设置日限额能更好的避免？