Un investigador de seguridad fue agradecido por Apple en las notas de la actualización de OS, solo unos días después de ser acusado en un esquema que le permitió robar millones de dólares en productos de Apple, tarjetas de regalo y servicios.
Noah Roskin-Frazee, un investigador de seguridad afiliado a ZeroClicks Lab, ha sido elogiado por Apple por identificar vulnerabilidades de software. Sin embargo, recientemente ha sido objeto de escrutinio por explotar una vulnerabilidad que le permitió robar la asombrosa cantidad de $2.5 millones en iPhones, Macs y tarjetas de regalo.
Según 404Media, Roskin-Frazee encontró una vulnerabilidad en Toolbox, un sistema backend que Apple utiliza para poner órdenes en espera. Mientras están en espera, las órdenes aún pueden ser editadas.
Él, junto con el presunto co-conspirador Keith Latteri, usó una herramienta de restablecimiento de contraseña para obtener acceso a una cuenta de empleado de una empresa externa que ayudaba a Apple con el soporte al cliente. Una vez que accedieron a las credenciales del empleado, accedieron a los sistemas de Apple y realizaron órdenes fraudulentas de productos de Apple.
El dúo comenzó el esquema en diciembre de 2018 y continuó al menos hasta marzo de 2019.
Los dos crearían y manipularán órdenes, agregarían productos como iPhones y Macs y cambiarían el costo a cero. También ordenarían tarjetas de regalo que podrían ser utilizadas en las tiendas de Apple o revendidas.
Aunque usaron nombres falsos y direcciones de envío falso para los productos físicos, uno extendió AppleCare por dos años para él y su familia.
Quizás una de las cosas más interesantes que surgieron de la historia es que dos semanas después de que arrestaran a Roskin-Frazee, Apple lo agradeció públicamente en su sitio web.
Hay un gran negocio en las vulnerabilidades de software, tanto en encontrarlas como en explotarlas.
Jamf Threat Labs trabajó recientemente en una técnica de manipulación de post-explotación de prueba de concepto que hace que un iPhone se comporte como si estuviera en Modo de Bloqueo cuando no lo está.
Incluso el Apple Vision Pro no es seguro. Un día antes de su lanzamiento, un investigador de seguridad afirmó haber creado un exploit del kernel para visionOS, abriendo el camino hacia un posible jailbreak y la creación de malware.