网友丈母娘被盗刷15000 iPhone也不再安全了？

然而就在本周，有网友称自己丈母娘的iPhone在开启了Apple ID双重认证后，仍然被“钓鱼”骗走了一万五千元，一时间引发了用户和社会公众对于苹果手机安全性的担忧。

那么关于网友丈母娘被骗一万五千元这件事的经过是如何的呢？咱们来看看当事人，也就是V2EX社区用户airycanon是怎么说的：

给大家再简单梳理一下，事情的经过大概是：

当事人的家人下载了一个名为《菜谱大全》的App，在登录时选择了使用Apple ID授权登录。

这里敲一个重点，当事人的家人在登录选项时未选择隐藏自己的Apple ID，这也导致了骗子直接获取到了用户完整的Apple ID信息，所以我们在使用Apple ID登录第三方网站时，尽量选择隐藏咱们的邮箱地址。

随后，App内弹出了一个密码输入框，此时骗子便获取了全部的账号、密码。并且根据当事人强调，在整个过程中，都没有出现双重认证的弹窗。

注意一下，这里App内弹出的密码输入框显然是一个仿照系统界面设计的密码输入界面，尚不说普通消费者能否分辨，就连像我这种行业从业者不仔细观察的话，也很难分辨。

这里是Apple ID，而不是Apple ID

而为啥没有触发苹果的双重认证？

根据博主@BugOS技术组的测试，这是由于骗子通过受信设备中的应用拉起隐藏WebView访问Apple Id.apple.com，因此无需进行双重验证，用户只要进行简单的Face ID认证即可。

事情到这里，骗子就已经获取了用户的账号和密码，并且成功绕过Apple ID的双重认证，在苹果官网添加了自己的手机号。如果用户的Apple ID中绑定了例如支付宝、微信等支付方式，那么骗子的骗局便形成了成功的闭环，通过商店购物的形式疯狂套现。

另外值得注意的是，这里的骗子为了防止用户收到支付交易信息的短信，提前对用户的手机进行了远程的重置。对于很多没有日常使用iCloud进行数据备份的用户来说，可能会比金钱的损失更麻烦。

以上便是该网友丈母娘被骗的全过程，总的来看骗子的骗术并不高明，只是利用了苹果系统的一个逻辑漏洞，获取到了用户的账号、密码，并通过软件内置的浏览器成功绕过双重认证直接登录，最后绑定上骗子自己的手机号便大功告成。

那么我们应该怎样避免被骗呢？我们总结了以下几点：

1.不下载来路不明的App；

2.在其他网站内登录Apple ID时，尽量选择隐藏自己的邮箱地址；

3.定期更换Apple ID的密码；

4.定期检查自己Apple ID下绑定的订阅服务；

5.Apple ID绑定的免密支付账户，尽量不要存有太多余额。

另外，博主@BugOS技术组也提供了一个防钓鱼的小技巧：当iPhone上出现输入Apple ID密码的窗口时，按Home键或上划手势尝试退出一下，只要能退出的都是钓鱼网站。