I nostri iPhone presentano due vulnerabilità: la porta USB-C e iMessage. Come difendersi

Anche i migliori iPhone sono sicuri, ma non così sicuri, e ci sono sempre vulnerabilità non note ad Apple pronte a mettere a rischio i nostri dati (o il nostro conto in banca). 

Due studi diversi hanno rivelato altrettante criticità nei telefoni della mela: una riguarda la porta USB-C negli iPhone 15 e 16, mentre l'altra mette a rischio chi utilizza iMessage. 

Per quanto riguarda la porta USB-C, si tratta di una vulnerabilità scoperta dal ricercatore di sicurezza Thomas Roth. Come riportato da Cyber Security News, il team di Roth è riuscito a misurare i segnali elettromagnetici durante il processo di avvio del controller della porta ACE3. 

In questo modo, hanno identificato il momento in cui avviene la validazione, e lanciando un impulso elettromagnetico mirato lo hanno bypassato. In questo modo sono riusciti a iniettare una patch modificata del firmware nella CPU del telefono. 

Il ricercatore aveva avvertito Apple della minaccia, ma la casa di Cupertino l'aveva considerata così complessa da effettuare da non considerarla tale.

Nondimeno, Roth ha concluso che Apple dovrebbe migliorare la protezione dei suoi dispositivi da attacchi fisici (per sfruttare questo exploit è necessario l'accesso al telefono), e che questo caso dovrebbe servire da monito (se ce ne fosse ancora bisogno) per ricordare che nessun sistema è sicuro al 100%. 

Bleeping Computer ha invece riportato una vulnerabilità che riguarda iMessage, la piattaforma di messaggistica di Apple (che tra l'altro si è aperta ai messaggi RCS, operatori permettendo). 

Da tempo sono noti gli attacchi attraverso questo sistema (qualcuno ha nominato Pegasus?), ma adesso è stato scoperto un nuovo exploit utilizzato per il phishing e l'installazione di malware sul telefono. 

In pratica, quando si riceve un messaggio da un utente sconosciuto (non inserito nel proprio elenco di contatti o a cui non si ha mai risposto), per protezione iMessage disattiva tutti i link in esso contenuti. 

Questo significa che non si possono toccare per aprirli nel browser.

Tuttavia, se il mittente ci convince a rispondere, per esempio inviando un messaggio con STOP (come invito a non ricevere più messaggi o annullare un abbonamento), o anche un semplice carattere (per esempio Y o S), questo sistema può essere bypassato. 

Se rispondiamo infatti, iMessage considera automaticamente il mittente attendibile e i link verranno abilitati. Il sito ha notato un'impennata di attacchi di smishing di questo tipo, con messaggi di utenti che si fingono compagnie di spedizioni o altro. 

Per proteggersi da questo attacco, non dobbiamo mai cliccare su un link o rispondere a un messaggio di un mittente sconosciuto, anche se si dichiara essere una compagnia di spedizioni. In caso di dubbio, inseriamo sempre un'URL a mano nel browser, o contattiamo direttamente l'azienda attraverso i suoi canali ufficiali.