Баги AirDrop позволяют извлечь телефонные номера пользователей iPhone

Баги AirDrop позволяют извлечь телефонные номера пользователей iPhone

Баги AirDrop позволяют извлечь телефонные номера пользователей iPhone

Специалисты одного из немецких университетов обнаружили две уязвимости, затрагивающие функцию обмена данными Apple AirDrop. Воспользовавшись этими дырами, потенциальный злоумышленник может извлечь телефонные номера и адреса электронной почты пользователей «яблочных» устройств.

Баги, по словам исследователей, присутствуют в процессе аутентификации, которая происходит при первой фазе установки соединения AirDrop: когда устройства пытаются найти друг друга и выяснить, знакомы ли их владельцы.

Чтобы установить связь между пользователями девайсов, функция проверяет наличие их телефонных номеров в списках контактов друг друга. Под капотом же происходит обмен пакетами AWDL (Apple Wireless Direct Link), содержащими информацию об устройствах и их владельцах.

Таким способом могут передаваться технические характеристики, персональные данные, идентификаторы Apple, номера телефонов и адреса электронной почты. Чтобы защитить эту информацию от посторонних глаз, Apple шифрует всё при помощи алгоритма SHA256.

Однако эксперты Дармштадтского технического университета нашли неприятную лазейку: если у пользователя включён AirDrop, мобильное устройство будет постоянно рассылать вышеописанные пакеты во всех направлениях.

Таким образом, киберпреступник, находящийся от жертвы в пределах действия Bluetooth, может использовать адаптер Wi-Fi для перехвата передаваемых пакетов, из которых он потом может вытащить конфиденциальные данные.

ФБР показало, как легко вычислить авторов ИИ-порно

В США начали применять закон Take It Down Act против создателей и распространителей сексуализированных ИИ-дипфейков. Первые дела показывают интересную вещь: некоторым авторам такого контента даже не пришлось особенно прятаться.

ФБР арестовало двух мужчин после проверки порносайтов и поиска по хештегам вроде AI и Deepfakes.

Одним из подозреваемых стал 20-летний Артуро Эрнандес. По версии следствия, он опубликовал 113 альбомов со сгенерированными ИИ сексуализированными изображениями и видео примерно 50 женщин.

Среди пострадавших были политики, актрисы, музыканты, а также непубличные женщины, в том числе знакомые подозреваемого по школе и Instagram (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России).

Следователи вышли на Эрнандеса через геолокацию, PayPal, IP-адреса и данные Apple. Отдельно они нашли связь между ним и одной из жертв: он был подписан на её Instagram и, по данным следствия, сохранял у себя изображение, которое затем использовалось для создания ИИ-порнографии. Контент с этим изображением посмотрели более 36 тыс. раз.

Второй задержанный — 51-летний Корнелиус Шеннон — якобы опубликовал около 360 ИИ-альбомов с изображениями примерно 90 женщин. Эти материалы набрали более 2 млн просмотров. По версии следствия, установить его личность оказалось несложно: на аккаунте использовалась фотография, которую сопоставили с данными DMV и снимками наблюдения.

Если обвинения подтвердятся, обоим грозит до двух лет лишения свободы за нарушение Take It Down Act. Закон требует удалять несанкционированные интимные изображения, включая дипфейки, и даёт регуляторам инструменты для давления на платформы и сервисы.

Проблема в том, что сам закон не останавливает первичную публикацию. Жертве всё равно приходится искать изображения, подавать жалобы и добиваться удаления. Критики также опасаются, что механизм могут использовать для злоупотреблений и автоматического сноса нежелательного контента.

RSS: Новости на портале Anti-Malware.ru