Функция автозаполнения двухфакторной аутентификации Apple позволяет безболезненно вводить проверочные коды, отправленные по SMS, но фишинговые злоумышленники становятся опытными в этом.
Когда они обманом заставляют людей нажать на поддельную ссылку на сайт, который запрашивает SMS-код, они делают то же самое, так что это выглядит законным, когда автозаполнение предлагает вставить его для вас…
Но Apple теперь защищается от этого, прося компании отправлять SMS-коды в новом, более безопасном формате.
В этом формате ваши устройства будут предлагать автозаполнение кода подтверждения только в том случае, если домены совпадают. Например, если сайт утверждает, что это apple.com, но фишинговая ссылка ведет на apple.securelogin.com, то вам не будет предложен вариант автозаполнения.
Новый формат, который вы, возможно, начали видеть в конце прошлого года, выглядит так:
Ваш код Apple ID: 123456. Не сообщайте его никому. @apple.com #123456 %apple.com
Macworld объясняет изменение.
Формат обычно выглядит так:
Стандартное удобочитаемое сообщение, включая код, за которым следует новая строка. Ограниченный домен как @domain.tld. Код снова повторяется как #123456. Если на сайте используется элемент HTML, называемый iframe, источник iframe указывается после %, например %ecommerce.example. (В исходной спецификации указано @; Apple, похоже, использует % для своих текстов.)
Это не идеальное решение. Он полагается на то, что пользователь заметит, что его устройство не предлагает автозаполнение, и по этому факту поднимет красный флажок. Он также полагается на компании, которые используют 2FA на основе SMS, чтобы принять новый формат. Наконец, как мы уже отмечали ранее, SMS не является безопасной формой двухфакторной аутентификации. Генераторы кода стали лучше, и один из них теперь встроен в iOS 15.
Но каждая мелочь помогает, поэтому, если вам отправлено SMS с кодом подтверждения, а автозаполнение не предлагается, очень внимательно посмотрите на доменное имя. А еще лучше всегда использовать свои собственные закладки или вводить URL-адреса, а не переходить по ссылкам.
