黑客可用蓝牙发射器伪造 iOS 通知，骗取用户帐号密码

今日消息，在 Def Con 2023 白帽大会上，白帽 Jae Bochs 使用一款“廉价蓝牙发射器”，利用苹果 iOS 的蓝牙弹窗，向参与大会的技术人员演示“如何发送假通知以进行钓鱼”。

据悉，这款“蓝牙发射器”由树莓派、蓝牙适配器、几根天线和一块外置电池组成。Jae Bochs 表示，该设备成本约为 70 美元，黑客可以利用该设备，对个人范围内的苹果设备进行钓鱼攻击。

实际该原理和华强北的“山寨 AirPods”的“蓝牙弹窗”大致相同，都是通过掌握调用苹果 iOS“蓝牙弹窗”的方法，从而实现自定义“弹窗内容”的行为。

Jae Bochs  表示：“如果用户与 iPhone 上弹出的钓鱼提示进行交互，用户就有可能被欺骗‘自己交出自己的密码’”。

Jae Bochs 声称，苹果公司从 2019 年开始就已经意识到了这个问题。不过该公司对此并没有采取任何措施，这主要是因为“苹果公司销售了大量 AirPods 耳机，如果更改相关协议，将会导致苹果公司付出巨额成本”。

对于普通用户，在无法判断是否是官方弹窗的情况下，不要轻易输入帐户密码及个人信息，或先随意输入错误的帐户或密码进行测试。