Une vague d'achats in-app frappe actuellement un nombre semble-t-il conséquent de comptes iTunes : le problème, c'est que leurs utilisateurs n'ont non seulement jamais effectué ces achats, que certains n'ont même pas obtenu l'application concernée, et pire encore, d'autres n'ont tout simplement pas d'iPhone!

L'application en question est un jeu de Sega, Kingdom Conquest[1.1.8 - 71,6 Mo - gratuite]
Selon toute vraisemblance, le "hacker" a pu obtenir les informations d'accès aux comptes en question pour effectuer ces achats. Reste à voir comment il les a obtenues (les utilisateurs d'iTunes peu vigilants ont déjà été victimes de campagnes de hameçonnage de par le passé).

Toujours est-il que nombre d'utilisateurs américains se sont plaints dans les commentaires de l'application sur iTunes suite à ces achats involontaires. Sega a indiqué enquêter sur l'affaire. Un autre utilisateur rapporte le même problème, mais cette fois avec l'application World War.

Selon Betanews, il semble que les comptes visés en priorité soient ceux qui bénéficient d'une balance créditrice chez Apple (par le biais de cartes iTunes, chèques-cadeau, ou cadeaux mensuels). Apple a procédé au remboursement de tous les cas recensés (la fraude se monte jusqu'à $100). Certaines personnes touchées travaillent dans les technologies de l'information, connaissent les bonnes pratiques pour se protéger, et sont peu susceptibles de s'être fait tromper par du hameçonnage. Reste à voir quel autre maillon de la chaîne a pu être compromis, de la base de données d'Apple jusqu'au systèmes des cartes iTunes.

Aux États-Unis, on peut lier un compte iTunes à un compte Paypal pour effectuer les paiements. Compte Paypal qui en retour est souvent lié à un compte bancaire. La vague de hacks de comptes iTunes continue, et ce sont cette fois ces comptes Paypal qui sont pris pour cible.

Obtenir l'accès à un compte iTunes est plutôt simple : il suffit d'obtenir les informations de l'utilisateur lui-même via un système de phishing ou de tenter quelques mots de passe simples, trop souvent utilisés (l'occasion de rappeler que tout compte associé à un moyen de paiement devrait être associé à un mot de passe fort, mêlant chiffres et lettres, différentes casses, etc.).

Apple a récemment renforcé la sécurité des comptes iTunes : si un compte iTunes est activé sur un nouvel appareil (Mac, iPhone, iPod touch ou iPad), il faut rentrer le code de sécurité de la carte bleue. Code qui n'est justement pas requis si un compte Paypal est lié, et plusieurs utilisateurs se plaignent désormais de détournement de leur compte.

Un utilisateur raconte ainsi que son compte a été utilisé pour 47 achats de 99,99 $, soit 4.700 $ au total : il a heureusement pu bloquer le transfert de fonds sur Paypal (son compte était lié à son compte en banque). Chez certains, les dommages ont été mineurs : leur compte Paypal n'était pas lié à un compte en banque, seul leur solde Paypal a été débité, et encore la société rembourse-t-elle dans la plupart des cas. Un autre utilisateur a été moins chanceux : « quelqu'un a hacké mon compte iTunes/Paypal et a débité l'intégralité de mon compte bancaire. La vie m'a mis un grand coup de pied dans les cou***** alors que je suis au plus bas ».

Sherif Hashim est l'auteur d'un hack permettant de désimlocker les iPhone sous iPhone OS 3.1.3 et baseband 05.12.01. Peu après la publication de son hack, Sherif Hashim indique qu'il s'est vu signifier par Apple qu'il était désormais personna non grata sur l'App Store. Après avoir créé un nouveau compte, et utilisé sa carte de crédit comme celle de sa femme, celui-ci s'est à nouveau fait supprimer…

Un autre hacker, connu sous le nom de plume iH8sn0w, et auteur d'un hack d'innondation de la mémoire heap nommé XEMN, rapporte la même mésaventure.

La méthode d'Apple est quelque peu étonnante dans la mesure où l'accès à l'App Store ne change en rien leur capacité d'action sur l'iPhone concernant le jailbreak ou le desimlockage. Peut-être a-t-elle tout bêtement décidé d'utiliser ce moyen quelque peu mesquin pour leur rendre la monnaie de leur pièce.

Et une fois de plus c'est grâce au mot de passe du SSH sur les iPhone jailbreakés qui offre une porte d'entrée à ce ver (voir également notre article : Des iPhone jailbreakés victimes d'un hack). Celui-ci est plutôt bénin, puisqu'il se contente de changer le fond d'écran des iPhones infectés par une photo de Rick Astley (créant par là même un Rickroll géant).

Cependant ses successeurs pourraient être plus néfastes, et il pourrait beaucoup en coûter aux utilisateurs d'iPhones concernés. La prudence est donc de mise : le principe même du jailbreak consiste à faire sauter les protections instaurées par Apple.

source : AppleInsider