Tre giorni fa, un hacker russo ha scoperto una falla per eludere il sistema degli acquisti in-app delle applicazioni iOS, consentendo quindi a chiunque di effettuare qualsiasi acquisto a costo zero! Adesso Apple, sta cercando di risolvere il problema bloccando gli IP dei server russi incriminati. Eppure, anche con questa procedure, la falla rimane ancora aperta.
Oltre al blocco degli IP utilizzati da Alexey Borodin, Apple è riuscita ad ottenere la sospensione del server originale e la rimozione del video nel quale vengono mostrati i passaggi da eseguire per scaricare gratuitamente un qualsiasi contenuto in-app da YouTube giustificando la rimozione con la scritta “violazione di copyright” .
Inoltre, Apple siglando una accordo con PayPal, ha bloccato l’account verso il quale l’hacker indirizzava gli utenti per le donazioni. Ma il russo ha prontamente preparato la contro mossa …
Come scritto nel titolo, tutte le procedure effettuate de Apple per arginare il problema non hanno prodotto risultati. Infatti, quando Apple ha chiuso il server originale situato in Russia, il servizio oferto da Borodin è migrato su nuovi server hostati in paesi offshore, irraggiungibili quindi dai legali di Apple. L’hacker russo è riuscito a migliorare la procedura d’acquisto, consentendo di effettuare gli acquisti senza dover essere loggati con il proprio account iTunes: in questo modo Borodin si protegge dall’accusa di voler utilizzare le credenziali dei suoi utenti. Come ultima contromossa, Borodin ha creato un nuovo account PayPal privato, così da consentire ulteriori donazioni. In poche parole: malgrado i tentativi di Apple, il servizio lanciato dall’hacker russo rimane ancora operativo, per la “gioia” degli utenti iOS.
Come già saprete, il metodo messo in luce dall’hacker russo non va a buon termine con tutte le applicazioni. Questo succede quando lo sviluppatore inserisce alcune stringhe di codice nelle proprie applicazioni. Il sistema sviluppato da Borodin non fa altro che emulare la verifica dell’acquisto da parte dei server di Apple, ma se lo sviluppatore ha opportunamente indirizzato questa verifica verso i propri server, l’operazione fraudolenta non giunge a termine.
Via | 9to5Mac
Leggi o Aggiungi Commenti