iPhone belt dure telefoonnummers, zonder te vragen

Ontwikkelaar Andrei Neculaesei heeft ontdekt dat kwaadwillig gecodeerde links in sommige apps de “Tel” gaat misbruiken, om een telefoongesprek te starten.  Je kan dus als iPhone gebruiker maar beter oppassen met wat je opent!

Telefoonnummers worden vaak weergegeven als links op een smartphone.  Deze links worden dan via een Uniform Resource Identifier (URI) code geopend door je dailer, zodat er een gesprek start.  Hierdoor kan een kwaadwillig gecodeerde link, zomaar een gesprek starten met een heel prijzige nummer.

Getest
Bij de Safari browser is dit probleem er bijvoorbeeld niet, want als je daar op een telefoonnummer klikt, komt er een pop-up vragen of je een gesprek wil starten.  Maar bij vele apps zoals Facebook’s Messenger app, Apple’s Facetime, Google’s Gmail, … krijg je deze melding niet en start het gesprek meteen.

Apps kunnen ingesteld worden dat deze meldingen openen, maar bij de meeste applicaties staan deze gewoon uit.

Neculaesei heeft een website gemaakt waar hij via een JavaScript code je telefoon automatisch een gesprek laat maken, door gewoon de pagina te openen.
Hij heeft dit enkel nog maar getest op Apps van grote bedrijven zoals Apple, Google en Facebook.  Maar aangezien het bij hen werkt, is de kans dus groot dat kleinere bedrijven hier ook geen rekening mee hebben gehouden.  Noch Apple, Google of Facebook hebben hierop gereageerd.

Oplossing?
Het is maar een kleine aanpassing die de ontwikkelaar van een app moet uitvoeren en kan heel snel gebeuren.  Apple zou deze beveiligingslek in theorie kunnen voorkomen, door deze meldingen als standaard te vragen.

Android gebruikers hebben dit in het verleden al op de harde manier ondervonden, maar dit is reeds aangepakt.
Hopelijk reageren iOS app ontwikkelaars snel, zodat er geen slachtoffers vallen.

Wil je meer info?
Je kan Andrei Neculaesei’s ontdekking lezen op zijn blog: http://algorithm.dk/posts/rtfm-0day-in-ios-apps-g-gmail-fb-messenger-etc