网友丈母娘被盗刷15000，iPhone 也不再安全了？

一直以来，信息的安全性都是苹果的“金字招牌”。作为全球知名的科技公司，苹果通过相对完善的加密技术和隐私政策来保护用户的个人信息，并强调用户的个人信息高于一切。

然而就在本周，有网友称自己丈母娘的 iPhone 在开启了 Apple ID 双重认证后，仍然被“钓鱼”骗走了一万五千元，一时间引发了用户和社会公众对于苹果手机安全性的担忧。

那么关于网友丈母娘被骗一万五千元这件事的经过是如何的呢？咱们来看看当事人，也就是 V2EX 社区用户 airycanon 是怎么说的：

给大家再简单梳理一下，事情的经过大概是：

当事人的家人下载了一个名为《菜谱大全》的 App，在登录时选择了使用 Apple ID 授权登录。

这里敲一个重点，当事人的家人在登录选项时未选择隐藏自己的 Apple ID，这也导致了骗子直接获取到了用户完整的 Apple ID 信息，所以我们在使用 Apple ID 登录第三方网站时，尽量选择隐藏咱们的邮箱地址。

随后，App 内弹出了一个密码输入框，此时骗子便获取了全部的账号、密码。并且根据当事人强调，在整个过程中，都没有出现双重认证的弹窗。

注意一下，这里App 内弹出的密码输入框显然是一个仿照系统界面设计的密码输入界面，尚不说普通消费者能否分辨，就连像我这种行业从业者不仔细观察的话，也很难分辨。

这里是 AppLeID，而不是 Apple ID

而为啥没有触发苹果的双重认证？

根据博主 @BugOS 技术组 的测试，这是由于骗子通过受信设备中的应用拉起隐藏 WebView 访问 appleid.apple.com，因此无需进行双重验证，用户只要进行简单的 Face ID 认证即可。

事情到这里，骗子就已经获取了用户的账号和密码，并且成功绕过 Apple ID 的双重认证，在苹果官网添加了自己的手机号。如果用户的 Apple ID 中绑定了例如支付宝、微信等支付方式，那么骗子的骗局便形成了成功的闭环，通过商店购物的形式疯狂套现。

另外值得注意的是，这里的骗子为了防止用户收到支付交易信息的短信，提前对用户的手机进行了远程的重置。对于很多没有日常使用 iCloud 进行数据备份的用户来说，可能会比金钱的损失更麻烦。

以上便是该网友丈母娘被骗的全过程，总的来看骗子的骗术并不高明，只是利用了苹果系统的一个逻辑漏洞，获取到了用户的账号、密码，并通过软件内置的浏览器成功绕过双重认证直接登录，最后绑定上骗子自己的手机号便大功告成。

那么我们应该怎样避免被骗呢？我们总结了以下几点：

1.不下载来路不明的App；

2.在其他网站内登录 Apple ID 时，尽量选择隐藏自己的邮箱地址；

3.定期更换 Apple ID 的密码；

4.定期检查自己 Apple ID 下绑定的订阅服务；

5.Apple ID 绑定的免密支付账户，尽量不要存有太多余额。

另外，博主 @BugOS 技术组 也提供了一个防钓鱼的小技巧：当 iPhone 上出现输入 Apple ID 密码的窗口时，按 Home 键或上划手势尝试退出一下，只要能退出的都是钓鱼网站！