Recurso do AirTag pode ser explorado para golpes de phishing

Lançado em abril deste ano, o AirTag da Apple funciona como um rastreador GPS e permite que qualquer pessoa com um smartphone seja capaz de localizar itens anexados a este acessório. O problema é que uma nova vulnerabilidade foi encontrada nesse sistema de “achados e perdidos”, transformando “bons samaritanos” em vítimas de phishing.

Mas antes de entender o novo golpe, é preciso compreender o funcionamento do AirTag. O mini rastreador pode ser colocados em bolsas, chaves, mochilas ou outros itens. Uma vez que um desses objetos é perdido, o acessório pode ser escaneado por outros smartphones para que indivíduos possam devolver os itens ao seu legítimo dono.

Divulgação: Apple

Quando um AirTag está no modo perdido, uma pessoa que passar pelo raio do acessório será automaticamente redirecionado para uma URL com o número de telefone do verdadeiro proprietário e uma mensagem personalizada. E, bem, é justamente aí que mora o perigo.

Descoberta de vulnerabilidade no AirTag

Segundo o pesquisador de segurança Bobby Rauch, cibercrimonosos estão injetando URLs maliciosas no campo do número de telefone usado originalmente para divulgar os contatos dos que perderam algo. Esse link direciona quem está tentando ajudar para uma página falsa de login do iCloud.

Logo, a pessoa que acredita estar fazendo uma boa ação pode digitar suas credenciais de forma inconsciente, na tentativa de contato com o proprietário do AirTag — embora nenhum dado seja exigido no processo verdadeiro. Os hackers então podem coletar as informações de login para a aplicação de outros golpes.

Rauch chegou a reportar a vulnerabilidade à Apple em 20 de junho, mas a big tech parece investigar o caso de forma lenta. Na última quinta-feira (23), a empresa da maçã disse que resolverá o problema em uma atualização futura. Ainda assim, são pouco mais de três meses de exposição à ameaça sem qualquer tipo de notificação.