Seorang peneliti keamanan dengan rekam jejak membantu Apple mengidentifikasi kerentanan dalam perangkat lunaknya tampaknya menemukan satu celah keamanan yang terlalu menggoda.
Alih-alih melaporkannya ke perusahaan Cupertino, ia diduga mengeksploitasinya untuk menipu perusahaan tersebut dengan memberikan kartu hadiah dan produk senilai sekitar $2,5 juta …
Noah Roskin-Frazee, yang bekerja untuk ZeroClicks Lab, dikreditkan oleh Apple untuk beberapa CVE laporan, dan secara khusus berterima kasih kepada Apple atas bantuannya terkait kerentanan wifi.
Kami ingin mengucapkan terima kasih kepada Noah Roskin-Frazee dan Prof. J. (ZeroClicks.ai Lab) atas bantuan mereka.
Yang tidak biasa dari hal ini adalah ucapan terima kasih tersebut datang dua minggu setelah dia ditangkap karena diduga menipu Apple sebesar $2,5 juta.
Roskin-Frazee dilaporkan menemukan kerentanan dalam sistem backend Apple yang dikenal sebagai Toolbox. Hal ini digambarkan sebagai sistem di mana perusahaan menahan pesanan, dan selama waktu tersebut pesanan dapat diedit.
404Media melaporkan bahwa dia menggunakan serangan eskalasi untuk mendapatkan akses ke hal ini, dengan bantuan nyata dari rekan peneliti Keith Latteri.
Pertama, katanya, mereka menggunakan alat pengaturan ulang kata sandi untuk mendapatkan akses ke akun karyawan milik perusahaan yang hanya digambarkan sebagai Perusahaan B, tetapi tampaknya merupakan perusahaan pihak ketiga yang mengoperasikan layanan dukungan pelanggan untuk Apple.
Akun itu digunakan untuk mengakses akun lebih lanjut dalam perusahaan yang sama, salah satunya memberikan akses ke server VPN-nya. Ini adalah titik di mana mereka dilaporkan dapat mengakses sistem Toolbox Apple.
Laporan tersebut mengatakan bahwa mereka melakukan pemesanan dengan nama palsu, lalu menggunakan Toolbox untuk mengubah jumlah yang harus dibayarkan menjadi $0, serta menambahkan perangkat tambahan ke pesanan, “seperti ponsel dan laptop,” tanpa dikenakan biaya tambahan apa pun.
Pesanan lain yang nilainya diubah menjadi nol adalah untuk kartu hadiah, yang kemudian dapat digunakan untuk melakukan pembelian dari toko Apple atau dijual kembali dengan persentase tinggi dari nilai nominalnya.
Aspek yang paling tidak dapat dijelaskan dari laporan tersebut adalah bahwa meskipun nama palsu dan alamat pengiriman drop digunakan untuk produk tersebut, salah satu dari dua terdakwa tampaknya menggunakan sistem tersebut untuk memperpanjang kontrak AppleCare untuk dia dan keluarganya.
404Media mengatakan bahwa pengacara kedua terdakwa tidak menanggapi permintaan komentar.
Foto oleh Carles Rabada di Unsplash
Itulah konten tentang Peneliti keamanan menggunakan sistem Apple untuk menipu iPhone, Mac, dan kartu hadiah senilai $2,5 juta, semoga bermanfaat.