iOS 27 научилась вычислять момент, когда пользователя разводят на деньги

Apple добавила в iOS 27 и iPadOS 27 функцию Impersonation Risk Detection, которая оценивает риск атаки с использованием социальной инженерии в момент, когда человек собирается перевести деньги, сменить пароль или поменять параметры аккаунта. Проверку запрашивает приложение, а показать предупреждение или остановить операцию решает уже разработчик. Расчёты выполняются на самом устройстве, приложение получает только итоговый уровень риска.

2FA в подобных атаках молчит, потому что все действия формально выполняет настоящий владелец смартфона, которого преступник убедил самостоятельно отправить деньги или передать доступ к аккаунту. Мошенник представляется банком, госструктурой, знакомым или другой организацией, вызывающей доверие, торопит жертву и диктует пошаговые инструкции по смене настроек или переводу средств. Классические защитные механизмы в такой схеме просто пожимают плечами.

Схема со звонком «из службы безопасности банка» и требованием срочно переложить деньги на «безопасный счёт» в России давно стала классикой жанра, а обычный антифиш против неё бессилен, ведь он проверяет письма и ссылки, а не поведение человека. Смартфон оценивает не отдельное сообщение, а то, что юзер выполняет в конкретный момент, и при подозрительном наборе действий отправляет приложению сигнал до завершения операции.

Прежде чем система заработает, владельцу придётся отдельно разрешить приложениям получать оценки риска. Apple указала в локальном уведомлении, что оценка может учитывать:

• характер использования смартфона;
• приблизительное количество совершённых и полученных звонков и писем;
• сведения Apple Account, среди которых загрузки приложений и покупки цифрового контента;
• манеру взаимодействия с устройством и время выполнения действий;
• контекст происходящего и базовые данные сенсоров.

Apple заявила, что содержимое фотографий, сообщений и электронной почты в оценке не участвует, хотя набор сигналов звучит как завязка шпионского триллера. Приложение, запросившее проверку, получает только итоговый результат без исходных данных, а сама компания эти данные тоже не видит.

Интересно, что Apple отделяет массив данных для анализа от сведений о событии — исходные сигналы остаются на телефоне, а компания узнаёт лишь о действии, из-за которого приложение обратилось к системе.

Реакцию на подозрительное действие выбирает разработчик, и вариантов у него несколько:

• запросить у пользователя подтверждение личности;
• предложить подождать перед выполнением операции;
• вывести предупреждение;
• использовать оценку как сигнал для собственной антифрод-системы.

Система выдаёт приложению 1 из 3 уровней риска:

• unknown — устройство не нашло подозрительных признаков, но Apple оговорила, что гарантией безопасности операции это не считается;
• medium — система заметила некоторые признаки подозрительной активности;
• high — набралось существенное количество сигналов, указывающих на возможное воздействие социальной инженерии.

Зелёный сигнал в этом светофоре для приложений не означает «проезжай спокойно». Если система ничего подозрительного не заметила, приложение всё равно не получает справку о невиновности юзера или операции. Для российских юзеров всё упирается в разработчиков, ведь iOS лишь выдаёт уровень риска, а встроить проверку в клиент должен сам банк или сервис, и какие из доступных в России приложений это сделают, покажет время.

Стоит обратить внимание на смену логики — раньше смартфон спрашивал «вы точно хотите это сделать?», а теперь пытается сначала выяснить, не стоит ли за этим вопросом человек, который 5 минут назад представился сотрудником банка и убедительно объяснил, почему перевод нужен прямо сейчас.

Настройки функции лежат в разделе Настройки → Конфиденциальность и безопасность → Impersonation Risk Detection, где передачу сигналов разработчикам можно разрешить или отключить. Для активации Apple может попросить войти в App Store через Apple Account, что для настройки конфиденциальности звучит неожиданно. Apple оставила пользователю несколько рычагов контроля:

• список приложений, которые обращались к оценке, находится в разделе Recent Activity;
• пункт Reasons for Access показывает, какие действия вызвали запросы;
• доступ разрешается или запрещается отдельно для каждого приложения, поэтому его можно оставить для банковского клиента и закрыть для остальных;
• новые параметры вступают в силу не сразу, Apple предупредила о задержке до 24 часов.

Apple фактически признала пределы классической модели защиты, ведь пароль, 2FA и защищённое соединение работают, пока владелец сам не подтвердит перевод или смену пароля под давлением преступника. Тогда техническая защита превращается в инструмент, который жертва добровольно использует против себя. Часть борьбы с мошенничеством переезжает на уровень выше, и смартфон учится замечать не только плохой файл или подозрительный сайт, но и момент, когда обычное действие юзера смотрится подозрительно.

Эксперты CISOCLUB прокомментировали новую функцию Apple и отметили, что локальная оценка риска закрывает слепую зону, в которой антифишинг и 2FA бессильны, ведь атака идёт через человека, а не через уязвимость. Главный плюс лежит в самом моменте проверки, потому что вмешаться можно до подтверждения перевода, когда деньги ещё на счёте. Слабое место в зависимости от разработчиков, ведь без подключения API банком или сервисом функция останется мёртвым грузом. Ложные срабатывания могут надоесть, а привычка жать «подтвердить» не глядя сводит пользу к нулю. Статус unknown нельзя воспринимать как разрешение, поэтому бдительность и базовая цифровая гигиена остаются обязательными. Активировать оценку стоит хотя бы для банковских приложений и заглядывать в Recent Activity, чтобы видеть, кто и зачем её запрашивает.

Ранее сообщалось, что компания SOCRadar обнаружила работу криминального сервиса AnonyMousKIT, который используется мошенниками для получения у владельцев потерянных или украденных устройств Apple код-пароля, данных Apple ID и кодов двухфакторной аутентификации. Полученные сведения позволяют снять привязку устройства к чужому Apple ID и вернуть украденный или потерянный iPhone в оборот.