Dois aplicativos maliciosos para iPhone (iOS) usaram o Touch ID para autorizar pagamentos sem o conhecimento do dono do celular da Apple. Chamados de Medição da Frequência Cardíaca e História do seu Sobrenome, os apps prometiam revelar os batimentos do coração e informações do nome de família do usuário. No entanto, os programas diminuíam o brilho de tela do smartphone e usavam o leitor de digitais para confirmar uma transação de R$ 329,90 em dinheiro.
Ambos aplicativos já foram removidos da App Store. Vale destacar, porém, que o Medição da Frequência Cardíaca chegou a aparecer entre os seis mais baixados na categoria de títulos com compras, nesta sexta-feira (30), de acordo com o ranking do App Annie. O História do seu Sobrenome também figurou entre os 10 apps grátis mais baixados da plataforma. O TechTudo entrou em contato com a Apple, mas não houve resposta até o momento.
De acordo com o Fabio Assolini, especialista da Kaspersky, os dois aplicativos não apresentam códigos maliciosos ou exploram vulnerabilidades do sistema da Apple. O método consiste apenas em enganar o usuário para que ele confirme a transação sem saber – foi usado, portanto, o conceito de “engenharia social” para iludir as vítimas.
Apesar de contarem com propostas de uso diferentes, os apps aplicam o golpe da mesma forma. Após baixar o aplicativo, o usuário tentava usá-lo para medir a frequência cardíaca com o polegar no leitor de digital e, em seguida, o iPhone ficava sem brilho na tela. No escuro, havia uma interface de confirmação com o uso de Touch ID e, assim, era feito o pagamento de R$ 329,90. Ambos disponíveis em português, os aplicativos fizeram vítimas no Brasil, conforme relatos em redes sociais.
Além disso, vale lembrar que ataques com o uso do Touch ID só funcionam em modelos de celulares e tablets da Apple que ofereçam o leitor de digitais – ausente nos iPhone X, XS e XR, geração mais recente de dispositivos da marca.
