Una vulnerabilità riscontrata nel lettore dei codici QR integrato nell’app Fotocamera su iOS potrebbe indirizzare gli inconsapevoli utenti verso un sito web malevolo.
Con iOS 11, è sufficiente utilizzare l’app Fotocamera per puntare un codice QR tramite iPhone e aprire il contenuto relativo. Si tratta di una funzione molto utile, ma che a quanto pare nasconde dei rischi. Nel caso in cui il codice QR includa un URL, iOS va a mostrare l’indirizzo del link e chiede conferma all’utente per poterlo aprire su Safari.
Infosec ha scoperto che è facile ingannare l’utente per fargli visualizzare un URL diverso rispetto al link che viene poi aperto realmente su Safari dopo conferma. Ad esempio, il codice QR può mostrare l’URL facebook.com, ma inviarti poi su un sito malevolo.
Per provare quanto detto, Infosec ha realizzato il codice QR che vedete in basso. L’app Fotocamera vi chiederà se volete aprire l’URL facebook.com, ma in realtà vi porterà su https://infosec.rm-it.de/.
Tutto ciò che serve per raggiungere questo obiettivo (lo diciamo perchè la procedura è riportata dalla fonte ufficiale) è incorporare un URL in questo formato:
https: // xxx \ @ facebook.com: [email protected]/
iOS visualizza il primo URL tramite lettura del codice QR, ma ti porta al secondo link. Il bug è stato segnalato ad Apple il 23 dicembre scorso, ma non è stato ancora corretto.
Il consiglio è di fare attenzione quando utilizzate codici QR provenienti da fonti non affidabili.